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RS Hat Enterprise Linux è 
0 dei sistemi più apprez- 
zati del panorama Linux dedica- 
to al mondo del lavoro. Nessuna 
sorpresa, quindi, che i molti uten- 
ti che lo usano per lavoro voglia- 
no averne anche una versione 
per utilizzo domestico. Invece di 
installare RHEL sul proprio PC 
casalingo, è possibile puntare 
sulla versione sviluppata dalla 
community: Fedora. Giunta alla 
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trentesima versione, è sempre più 
stabile e ricca di miglioramenti 
per semplificare la vita dell’uten- 
te. La scelta di desktop è la più 
ricca di sempre, con i classici 
GNOME e KDE, ma anche Xfce, 
LXQt, MATE, Cinnamon, Deepin 
e Pantheon. È stato migliorato 
molto il sistema di pacchetti DNE 
che ora promette aggiornamenti 
più rapidi, per avere sempre l’ul- 
timo software disponibile. 
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el lato B del DVD trovi un'im- [FS 

magine per Raspberry Pi che | ci 
permette, usando il lettore Near Field 
Communication modello PN352, di 
leggere i dati della tua carta di credito 
o debito contactless. Nella cover story spieghiamo come utilizzare 
questo sistema operativo per verificare se la tua carta sia protetta. 
Se il lettore riesce a carpire i dati sensibili della tua carta, dovrai pro- 
teggerla usando uno dei metodi che proponiamo nella cover story. 
L'immagine deve essere scritta su una scheda microSD di almeno 
32GB. Se usi un sistema GNU/Linux basta dare questi comandi: 


unzip linuxmag-cardgrabber.zip 


sudo dd if=linuxmag-cardgrabber.img of=/dev/mmcblk0 
status=progress 

Dove /dev/mmeblk0 è il nome della scheda microSD inserita 
nel proprio lettore. Da Windows è possibile usare un program- 
ma come Win32DiskImager (http://bit.ly/w32diwin). Avviato il 
Raspberry, sarà possibile accedere alla rete Wi-Fi da uno smartphone 
o PC. La rete si chiama RaspiContactlessGrabber e la password è 
linuxmag-cardgrabber. Entrati nella rete, basta puntare il browser 
su 192.168.1.1. Per trasparenza trovi anche il codice sorgente del pro- 
gramma così da verificare come funziona: grabcard-sorgente.zip. 
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2 Driver Nvidia 
ufficiali per 
Ubuntu LTS 


L'ultima versione LTS di 
Ubuntu, la 18.04, ha appena 
ottenuto i driver ufficiali per le 
schede grafiche Nvidia, che 
saranno quindi disponibili 

nei repository. Si tratta di un 
passo importante, perché 
l'installazione potrebbe 
diventare automatica e gli 
utenti non sarebbero più 
costretti a scaricare script 

e installare manualmente. 
Questo faciliterà la vita 
soprattutto agli utenti 

meno esperti, ma in linea di 
massima anche a chi desidera 
usare le funzionalità CUDA. 
Naturalmente, di questa 
offerta beneficeranno anche 
le distro derivate, come Linux 
Mint e Zorin. Chi poi desidera 
utilizzare i driver open source 
Nouveau potrà comunque 
farlo. 


® Debian 10 
è arrivato 


Dopo due anni di lavoro, il 
nuovo Debian è disponibile 
per tutte le piattaforme e 

con tutti i principali ambienti 
desktop in circolazione. La 
versione principale, basata 
su GNOME, ha già Wayland 
come compositor predefinito. 
Il supporto al SecureBoot è 
stato migliorato, anche se 
diversi utenti hanno lamentato 
dei problemi all'avvio di 

Grub dopo l'aggiornamento. 
Problemi che sembrano 
essere ora stati risolti. Questa 
distro sarà supportata per 

i prossimi 5 anni, grazie 

al lavoro del Debian Long 
Term Support Team. Tra le 
varie versioni, segnaliamo 
che ès tata rialsciata anche 
Debian Edu, leggera ma 

con tutto il necessario per la 
maggioranze delle scuole. 
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Fonte: https:/www.uniroma1.itiynotizia/tecnologia-ising-realizzata-la-piu-grande-macchina-di-calcolo-basata-sulla-luce-la 


SAT 


Risolvere problemi usando il 
calcolo parallelo e un display 


L'università Sapienza di Roma ha realizzato il primo grande calcolatore Ising, 
in cui i pixel di un display vengono usati come elaboratori per eseguire calcoli 


MI L'informatica non viene usata soltanto per far 
funzionare i dispositivi che ci circondano, ma an- 
che (e forse soprattutto) per studiare il mondo. Il 
mondo in cui viviamo è sempre più complesso, 
soprattutto per quanto riguarda gli spostamenti 
di persone e merci. Il commercio online sta met- 
tendo i servizi postali sotto grande pressione, e in 
futuro potrebbe avvenire qualcosa di simile con i 
trasporti pubblici: man mano che i veicoli a guida 
autonoma verranno sviluppati, diventerà possibi- 
le abbandonare le automobili per uso personale, e 
affidarsi a sistemi di trasporto pubblico (o privato) 
automatico. Tuttavia, per fare tutto questo è ne- 
cessario calcolare i tragitti adatti a coprire tutte 
le tappe necessarie risparmiando tempo e ener- 
gia. Le variabili da tenere in considerazione sono 
tante, e bisogna fare ricorso al calcolo combina- 
torio. Che è qualcosa di molto impegnativo per un 
comune processore. L'esempio più semplice è il 
problema del commesso viaggiatore, in cui si deve 
trovare il percorso più breve per consentire a un 
individuo (il commesso viaggiatore) di visitare una 
serie di città, passando una volta sola in ciascuna 
di esse. Bisogna quindi tenere in considerazione 
la dislocazione delle città sulla mappa geografica, 
le strade che le collegano, e la distanza totale. Ma 
in un mondo reale bisogna tenere conto anche di 
altre variabili, come il traffico, la possibilità che 
alcune strade siano chiuse, e altri dettagli indi- 
spensabili per rendere più efficiente il passaggio 
di un corriere espresso o di un rider, così il lavoro 


optical intensity 


recurrent feedback 


detected intensity 


target intensity 


meno è snervante per l'autista e si riduce anche 
l'inquinamento dovuto al veicolo. 

È per questo tipo di calcoli che si cerca di svilup- 
pare dei processori diversi, in grado di gestire 
parallelamente molte più variabili e molte più 
operazioni di un normale chip al silicio. Un esem- 
pio innovativo sono le macchine Ising: si tratta di 
sistemi basati su microscopici elettromagneti, il 
cui stato 0 0 1 può essere assegnato in base al fat- 
to che puntino a Nord o a Sud, come una normale 
calamita. La logica che sta dietro alle macchine 
di Ising è che i magneti si allineeranno automa- 
ticamente in modo da utilizzare la minima ener- 
gia possibile. Siccome utilizzare dei veri magneti 
sarebbe poco efficiente, si utilizza invece la luce 
(tipicamente impulsi laser), che non è altro che 
un'onda elettromagnetica e ha quindi una am- 
piezza d’onda e una fase. Queste due proprietà 
possono essere usate per codificare delle infor- 
mazioni. Di recente il team del professor Claudio 
Conti della Sapienza di Roma ha avuto una brillan- 
te intuizione: per costruire elaboratori Ising dalle 
capacità di calcolo potenzialmente infinite basta 
usare degli schermi. “Siamo partiti da un'idea 
originale”, ha spiegato Conti, “che utilizza i singoli 
pixel che compongono i moderni display, sia come 
unità computazionali sia di memoria”. | moderni 
display digitali sono infatti delle griglie di led che 
emettono luce, e sono molto facili da controllare. 
Basta programmare lo stato iniziale dei led per 
modulare il campo elettromagnetico desiderato, 
e lasciare che evolva da solo in base alla regola di 
minore energia. Questo ha permesso di realizzare 
nel laboratorio della Sapienza il più grande calco- 
latore Ising attualmente esistente al mondo, che 
i ricercatori pensano di poter applicare allo stu- 
dio di questi particolarmente complicate, come la 
forma tridimensionale delle molecole delle pro- 
teine [che sono spesso troppo grandi per essere 
calcolate da un computer tradizionale). Ovvia- 
mente, conoscere la forma esatta di una proteina 
è fondamentale per capire le cause di una malat- 
tia e ilfunzionamento dei tessuti del corpo umano, 
per poi sviluppare dei farmaci che possano curare 
tumori, infezioni, e infortuni. È la prima volta che 
si ottiene una macchina Ising di queste dimensio- 
ni, quindi sarà ora possibile valutare nel concreto 
le potenzialità di questa tecnologia. 


IBM sempre più vicina 
all’Open Source 


Il colosso americano ha comprato Red Hat in una strategia per migliorare il servizio cloud 


IBM, il famoso colosso dell'in- 
formatica che fino agli anni ‘80 
rappresentava il punto di vista 
diametralmente opposto alla 
filosofia hacker e quindi al sof- 
tware libero, si è negli ultimi 
anni spostati sempre di più ver- 
so le tecnologie open source. 
Tanto che, recentemente, ha 
completato l'acquisizione di Re- 
dHat per ben 34 miliardi di dolla- 
ri. La compagnia RedHat è stata 
la prima con un business model 
incentrato sul software FOSS a 
raggiungere, anni fa, il valore 
di un miliardo di dollari. Ancora 
oggi è una delle compagnie di 
maggiore successo: nonostante 
Ubuntu sia installato su un nu- 
mero maggiore di server rispet- 
to a Red Hat Enterprise, l'azien- 
da del fedora rosso guadagna di 


è 


redhat 


più. E continuerà a farlo, perché 
IBM non ha intenzione di sman- 
tellare o incorporare l'azienda, 
ma semplicemente di control- 
larla per offrire ai propri clienti 
una soluzione completa per il 
cloud computing, dal server fisi- 
co al sistema operativo che offre 
i servizi di cloud computing. IBM 
spera così di poter sottrarre una 
fetta di mercato a Amazon e Go- 
ogle, i due giganti del cloud. La 
vicinanza all'open source non è 
soltanto una mossa per attirare 


nuovi clienti: da anni IBM rila- 
scia il codice sorgente di alcuni 
propri progetti per permette- 
re a chiunque di rielaborarli. 
Di recente hanno fatto notizia 
alcuni algoritmi, rilasciati per 
l'appunto come FOSS, che uti- 
lizzano l'intelligenza artificiale 
per analizzare i dati di studi cli- 
nici per capire il funzionamento 
dei farmaci antitumorali. Questi 
algoritmi sono stati progettati 
per prevedere le molecole che 
potrebbero avere un effetto an- 
titumorale: la speranza è che, 
conoscendo già le molecole po- 
tenzialmente funzionanti, tempi 
e costi della ricerca farmacolo- 
gica diminuiscano. Siccome ora 
gli algoritmi sono open source, 
le case farmaceutiche e le uni- 
versità li potranno usare. 


Il nuovo Blender: semplice, veloce, e potente 


Una completa riscrittura dell'interfaccia rende l'editor 3D a portata di tutti 


MI Blender è certamente uno dei programmi 
open source più famosi in assoluto. È famoso per 
essere di fatto l'unico software open source di 
modellazione 3D capace di giocare alla pari con 
le grandi alternative proprietarie, soprattutto a 
livello professionale. Con Blender sono stati pro- 
dotti dei film, e non solo a 
livello amatoriale: anche 
alcune produzioni hollywo- 
odiane l'hanno utilizzato. 
Negli anni il programma è 
diventato uno strumento 
completo per la realizza- 
zione di filmati in computer 
grafica. Non è soltanto un editor per creare mo- 
delli tridimensionali, ma anche uno strumento 
per animare i modelli, e per inserirli in video re- 
ali, grazie al camera tracking. Inoltre, permette 
il montaggio video e il compositing, tramite un 
comodo sistema di nodi. Una caratteristica per 
cui è noto, tuttavia, è la sua interfaccia poco in- 


tuitiva, che si rivela essere molto comoda per chi 
conosce bene il programma, ma poco pratica per 
i principianti. È probabilmente per questo motivo 
che la versione 2.8, rilasciata poche settimane fa 
dopo anni di lavoro, è stata attesa con trepidazio- 
ne: offre infatti una completa riscrittura dell'in- 
terfaccia, che la rende 
molto semplice da utiliz- 
zare. Sono state integrate 
delle toolbar intelligenti 
che cambiano a seconda 
del contesto, e permetto- 
no di selezionare gli stru- 
menti che si desiderano 
per ogni ambito con un paio di click del mouse al 
massimo. Inoltre, sono stati apportate migliorie 
al motore di rendering, che è ora in grado di of- 
frire il rendering in tempo reale, persino con una 
anteprima dei modificatori fisici e particellari. È 
anche disponibile un ambiente di disegno bidi- 
mensionale, caratteristica unica tra gli editor 3D. 
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Gadget che non ti aspetti 


Abbiamo selezionato per te i più originali device del mese. 
Spesso sono folli... ma utili. Scegli quello che fa al caso tuo! 


L'orologio Casio è uno dei simboli 
degli anni ‘90 che vengono ultima- 
mente rivalutati dagli appassionati 
di tecnologia. Uno dei modelli più 
interessanti è quello con la calcola- 
trice integrata: è vero che oggi ogni 
smartphone offre calcolatrici perfet- 
te, ma a volte non si ha lo smar- 
tphone a disposizione, e si vuole 
qualche calcolo rapido. L'orologio 
da polso è una soluzione, letteral- 
mente, a portata di mano. 


| floppy disk sono una di quelle cose che innescano sempre 
una certa nostalgia, quando si ritrovano in qualche vecchia 
scatola. Perché, allora, non tenerne sempre sulla scrivania? 
Non come soprammobili, o meglio non solo: come sotto- 
bicchieri. Appoggiare la propria tazza sopra un finto floppy 
da 3,5 pollici è un bel gesto di stile, e un ottimo modo per 
lasciare il segno della tazza sulla scrivania. 


Anche i programmatori mangiano, e non solo RAM. Uno stru- 
mento fondamentale per cucinare, che si prepari un soffritto 
di verdure o di carne, è il tagliere. E cosa potrebbe esserci di 
meglio per un programmatore di un tagliere che riporta l’im- 
magine di una scheda madre? Realizzato in vetro resistente al 
calore, è ottimo anche per tagliare un arrosto senza perdere i 


succhi interni, direttamente in tavola. MA 
SYSTEM 
ADMINISTRATOR 


I SOLVE PROBLEMS 


IN DU STAND 


A volte è difficile, per un ammi- 
nistratore di sistema, spiegare in 
cosa consista il proprio lavoro. Ma 
girando per l’ufficio con questa 
maglietta diventa subito chiaro a 
tutti. Perché un sysadmin è qual- 
cuno che ti risolve i problemi che 
non sai di avere in modi che non 
riusciresti a capire. In attesa del 
prossimo SysAdmin day, questa 
maglietta è un buon modo per presentarsi al lavoro. 
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A chi non capita continuamente di avere oggetti che si rompono e 
doverli riparare? Se bisogna smontare i computer portatili o addi- 
rittura i tablet bisogna avere a portata di mano molti cacciaviti di 
diversa grandezza e vari altri strumenti. Questo kit contiene tutto il 
necessario per i principali dispositivi in circolazione. Naturalmente, 
molte delle punte sono piccole, quindi bisogna usarle con delicatez- 
za per evitare di deformarle sotto la pressione nell’attaccatura con il 
manico. 


@ 


Chiunque si metta a saldare componenti su una scheda, 
per creare circuiti con Arduino o Raspberry, prima o poi 
commettere qualche errore e spalma più stagno del dovuto 
sulla scheda. Per rimuoverlo facilmente, la soluzione miglio- 
re è utilizzare una pompa aspirante. Il trucco consiste nello 
scaldare lo stagno per fonderlo e subito dopo aspirarlo, 
ripulendo la scheda. Il metodo più pulito per eliminare gli 
errori e procedere senza problemi. 


Per gli appassionati del fai da te, gli strumenti di lavora- 
zione del legno sono fondamentali. Uno dei più famosi è la 
sega circolare. L'altra cosa fondamentale è, ovviamente, la 
pizza. E cosa di meglio, per tagliare la pizza, magari nelle 
serate di costruzione assieme agli amici, di una finta sega 
circolare? Naturalmente, è valido anche per le serate in fa- 
miglia, per la pizza nel fine settimana dopo aver fatto lavori 
in giardino. 


A chi non piacciono i LEGO? | famosi mattoncini hanno aiutato a 
sviluppare la creatività della maggioranza dei ragazzini degli ultimi 
decenni. E non solo: sono anche un modo semplice, per gli adulti, 
per costruire oggetti semplici. Un bel regalo può essere rappre- 
sentato proprio da una tazza con la superficie dei LEGO, pronta 
per essere decorata con dei mattoncini sulle pareti. 
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Le carte di credito, 
sono insicure? 


TROVI 
L'IMMAGINE 


PER 
RASPBERRY 
NEL DVD 


I ricercatori dell’Università di Cambridge hanno scoperto negli 
ultimi anni diverse vulnerabilità già sfruttate da organizzazioni 
criminali per rubare denaro dalle carte chip&pin 


lla fine del 2008 avevano molto successo le canzoni | kissed 
A: di Katy Perry e Human dei The killers. L'italoamericana 
idy Gaga raggiungeva la fama mondiale con Poker face, e 
tutti scoprivano che il suo vero cognome è Germanotta. Per il resto 
non si respirava proprio una bella aria. La crisi economica mondiale 
nata dal caso Lehman Brothers era iniziata da poco ma già si intuiva 
che sarebbe durata parecchio. Un altro dettaglio del mondo econo- 
mico cui quasi nessuno fa caso, perché tutto il pubblico è distratto 
dalla crisi economica, è che in questo 2008 si è raggiunto un nuovo 
picco nelle frodi basate su carte di credito. Si tratta di due cose ben 
distinte, anche se in un certo senso sono entrambi risultato di un 
bug. Il crack di Lehman Brothers è avvenuto a causa di un difetto 
nella progettazione dei prestiti e mutui. È una cosa che potrebbe 
capitare di nuovo, ma il grande pubblico non può fare molto per 
scongiurare il pericolo. Le frodi tramite carte di credito sono invece 
dovute a difetti nella progettazione delle tecnologie con cui sono 
realizzate le carte e le transazioni. E questo ci interessa molto perché 
ciascuno di noi, conoscendo i punti deboli, può proteggersi adegua- 
tamente e ridurre la probabilità di subire furti. 


ADDIO (0 QUASI) 
ALLA BANDA MAGNETICA 


Cominciamo dicendo che il motivo per cui nel 2008 si raggiunge 
un picco nelle truffe, soprattutto per quanto riguarda la clonazione 


alore delle frodi su POS 
to.all'anno:sc 
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della carta o soltanto delle sue credenziali, è che all’epoca l’utiliz- 
zo della banda magnetica era ancora abbastanza diffuso. Oggi ci 
siamo abituati all'idea di inserire un pin per eseguire un pagamento 
con la carta, ma se torniamo indietro di una decina di anni con la 
memoria ricorderemo che si usava fare solo la classica “strisciata” 
della carta in un lettore magnetico, con una firma sulla ricevuta di 
pagamento. Il problema è che questo sistema, vecchio di decenni, 
non è sicuro. La soluzione è pronta da tempo, dal 1993 per essere 
precisi. Ed è il sistema chip&pin: le carte di credito diventano delle 
smartcard, dotate non soltanto di una banale banda magnetica (per 
retrocompatibilità), ma anche di un chip in grado di conservare un 
certificato crittografico e validare il pin. Queste carte hanno comin- 
ciato a diffondersi nel Regno Unito nel 2003-2004, e sono arrivate 
in Italia intorno al 2009, sbarcando anche negli Stati Uniti verso il 
2014-2015. È difficile dare delle date nette, perché ogni istituto ban- 
cario ha preso accordi diversi e in momenti differenti con i circuiti di 
credito e debito. Questo è un primo punto fondamentale da chiarire: 
le banche presso cui abbiamo un conto corrente non gestiscono 
direttamente il sistema delle carte di credito: ogni banca si affida 
a qualche grossa azienda internazionale, così da avere carte fun- 
zionanti in molti paesi del mondo. Il sistema chip&pin è anche noto 
come EMV, Europay Mastercard Visa, proprio perché è stato svilup- 
pato dalle più grandi aziende internazionali di credito e debito: Eu- 
ropay, Mastercard e Visa. Negli anni tra il 2008 e il 2010, comunque, 
il sistema chip&pin stava diventando sempre più diffuso in Europa, 
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Fig. 1- Tra il 2015 e il 2016 le frodi con carte di credito in Italia aumentano in numero ma diminuiscono in valore: si rubano importi più bassi 
ma molto più spesso (fonte: rapporto statistico Ministero del Tesoro, anno 2017, http://bit.ly/carte2017dt) 
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Fig. 2 - Il giro d’affari criminale delle truffe su carte di credito nel Regno Unito, dal 2004 al 2017 (autore: Ross Anderson, Cambridge University) 


e un gruppo di ricercatori dell’università di Cambridge guidato dal 
professor Ross Anderson aveva iniziato a studiarlo per scoprire se 
fosse davvero così sicuro come promesso dal consorzio che lo ha 
prodotto. Ne abbiamo parlato proprio con Anderson, per capire me- 
glio quali siano i punti deboli delle carte di credito che ormai tutti noi 
abbiamo in tasca, e cosa possiamo fare per essere più sicuri. Ab- 
biamo anche chiesto delle conferme relative alla situazione 

italiana al colonnello Giovanni Reccia, comandante del 
Nucleo Speciale Tutela Privacy e Frodi Tecnologiche. 


7 EURO 


ancora una volta, che creare specifiche e standard di sicurezza in 
modo privato è nel migliore dei casi irresponsabile, e nel peggiore 
inetto”. Lo standard WPA8 è infatti stato creato a porte chiuse, e 
solo quando si stava cominciando a implementarlo sui dispositivi 
reali i ricercatori hanno potuto testarlo. Già ora il consorzio del WiFi 
sta lavorando allo standard WPA3.1, ma la diffusione di dispositivi 
vulnerabili si sarebbe potuta evitare se si fosse fin da subito 
condiviso il processo di sviluppo in modo open source. Nel 
caso del sistema chip&pin è successa una cosa simi- 
le, con lo standard che non è (tutt'ora) stato rilasciato 


P i IL VALORE MEDIO E pubblicamente nella sua interezza ed è talmente com- 

SE NON E OPEN SOURCE DI UNA TRANS; plicato che anche volendo è difficile descrivere ogni 
9 Ù TRUFFALDINA 

CI SI PUO FIDARE? funzionalità. Il professor Anderson ha ammesso che 


Il principale problema è che lo standard non è stato 
pubblicato nella sua interezza, in parte per “riserva- 
tezza” e in parte perché è molto complicato: la descri- 
zione occupa ben 4 tomi, ma ci sono comunque alcune 

parti che rimangono riservate. Questo non impedisce affatto ai 
malintenzionati di studiarlo con il reverse engineering e sviluppare 
dei metodi per crackare le carte di credito, ma complica molto la 
vita dei ricercatori che, invece, cercano di anticipare le mosse dei 
criminali. La realtà è che un sistema non può essere considerato re- 
almente sicuro se non si sa esattamente come funziona. Un esem- 
pio recente è quello delle reti WiFi. Oggi un router domestico usa la 
crittografia con password WPA2, ma si è scoperto che questa ha un 
bug (KRACK) che permette di scoprire facilmente le password col 
brute force. Il nuovo standard WPA3, presentato a gennaio 2018, 
avrebbe dovuto risolvere il problema grazie a una nuova cifratura. 
Però i ricercatori indipendenti hanno da poco dimostrato che que- 
sto nuovo standard è facilmente crackabile già sui primi dispositivi 
commercializzati. Il ricercatore Vanhoef (http://bit.ly/vanhoefj, esper- 
to indipendente della WPA, ha dichiarato che “questo dimostra, 
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“non c’è stato alcun tentativo (da parte del consorzio, 
n.d.r.) di riprogettare e semplificare il sistema. Anzi, sta 
diventando sempre più complicato”. 


DALLA FIRMA MANUALE 
A QUELLA DIGITALE 


Vediamo innanzitutto di capire come funzioni il sistema chip&pin, 
per capire quali siano i punti deboli. Il chip contiene le informazioni 
che permettono al venditore di riconoscere il cliente. Contempora- 
neamente, il chip viene autenticato dal cliente tramite il pin. Questo è 
un sistema teoricamente sicuro, perché bisogna essere in possesso 
di due cose: avere solo la carta o solo il pin non permette pagamenti. 
Se avete mai usato la firma digitale, avete una idea di come pos- 
sa funzionare il sistema: la firma è costituita da\due componenti, 
una password e un certificato. Il certificato è in rèaltà una chiave 
crittografica, che viene memorizzata su una smartcard, o anche 
semplicemente in una cartella del proprio computer. Per firmare un 
documento lo si cripta con la propria chiave, che è completamente 
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privata, ed è a sua volta protetta dalla password. Inoltre, la chiave 
privata è in realtà accoppiata a un’altra chiave, che serve per de- 
criptare ed è resa pubblica (da chi ci ha venduto il kit di firma). A 
causa dell’algoritmo con cui le due chiavi vengono calcolate, non 
è matematicamente possibile verificare la firma se non con la sua 
chiave pubblica, e non è possibile che una firma valida sia stata 
creata senza usare la chiave privata. 

Questo sistema è molto robusto, perché è davvero necessario pos- 
sedere sia il certificato che la password. Nel sistema dei pagamenti 
chip&pin, invece, viene usato un meccanismo leggermente diverso. 
Nei bancomat per il prelievo di denaro contante il pin viene verificato 
sempre online, perché è memorizzato sui server del sistema EMV. 
Invece, negli acquisti tramite POS, per fare prima e evitare di conge- 
stionare la rete, il pin può essere verificato direttamente dal chip. Un 
altro tipo di ottimizzazione del sistema sono le carte di credito più 
economiche, le cosiddette SDA (Static Data Authentication). Questo 
tipo di carte esegue la cifratura soltanto tramite AES senza chiave 
pubblica, che è molto veloce ma meno sicura, perché non control- 
la davvero il certificato presente nel chip col sistema della doppia 
chiave. Esiste una sola chiave, quella contenuta nel chip e memo- 
rizzata presso l’istituto che ha emesso la carta. Ciò significa che il 
venditore non può verificare direttamente la validità della firma, ma 
si deve “fidare” di ciò che la carta e il sistema bancario affermano. 
Questo offre ai pirati un punto di attacco, perché basta intromettersi 
nella comunicazione e convincere il terminale a accettare una car- 
ta. Invece, le carte più costose (DDA, Dynamic Data Authentication) 
eseguono la completa cifratura RSA, quindi fondamentalmente con 
la stessa logica e la stessa sicurezza della firma digitale. In realtà 
anche queste hanno una vulnerabilità legata al protocollo di verifica, 
ma è stata risolta con le nuove DDA, anche chiamate CDA. 


QUANDO LA CARTA FISICA NON SERVE 


Il grafico con l'andamento delle frodi nel Regno Unito ci aiuta a ca- 


pire quali siano i metodi sfruttati dai criminali. Si può notare che il 
tipo di frode più remunerativa è card not present. Si tratta di tutti 
quei casi in cui il criminale non ha davvero bisogno di possedere 
fisicamente la carta, ma riesce a prelevare le informazioni neces- 
sarie per fare acquisti online (numero di serie, CVV, intestatario e 
scadenza). Inizialmente questo tipo di frode è scesa, ma poi è salita 
salendo probabilmente per l'aumento dello shopping online e della 
diffusione di phishing e spyware. Solo recentemente si sta notando 
una lieve diminuzione, probabilmente grazie ai sistemi di doppia si- 
curezza, come i codici di conferma che vengono inviati tramite SMS. 


Se la vostra banca offre questa funzione, è importante attivarla. Il 
phishing è rappresentato dalle email false che fingono di arrivare 


dalla propria banca, mentre in realtà puntano a un sito creato da 
criminali in modo da somigliare a quello di una banca, per registra- 
re nome utente e password di una vittima. Sembrano maldestre, 
spesso scritte in modo sgrammaticato. Ma proprio l’utilizzo di una 
sintassi improbabile è utile per i criminali, perché garantisce che a 
rispondere saranno soltanto le persone meno scolarizzate e pro- 
babilmente meno esperte di informatica. Spesso ci si immagina gli 
autori di phishing come dei ragazzini malvagi che rubano password 
dalla loro stanzetta, ma non è affatto così: “dall'esperienza operativa 
di questo Nucleo Speciale”, spiega il colonnello Reccia, “general- 
mente le frodi riguardanti la violazione di carte di credito vengono 
commesse da più soggetti, ognuno dei quali si occupa di specifici 
aspetti”. Il phishing per rubare i dati delle carte di credito richiede, 
secondo le indagini del Nucleo Frodi Tecnologiche della Guardia di 
Finanza, queste azioni: 

e clonazione di pagine web dei vari istituti di credito emittenti 

e programmazione di malware per infettare i dispositivi e tentare 
un’intrusione per carpire credenziali dell’home banking (come il to- 
ken, n.d.r.) 

e raccolta di migliaia di indirizzi mail mediante intrusioni informatiche 
® trasferimenti dei fondi relativi alle violazioni o vendita dei dati carpiti 
* riciclaggio delle disponibilità illecitamente acquisite 


Collegare il lettore NFC al Raspberry 


Bastano quattro cavetti Dupont per connettere i vari pin 


CONICAVETTI 

Il modulo PN352 breakout board viene fornito con 

i pin saldati: basta collegare il pin 3.3V e iL GND ai 
rispettivi del Raspberry (numeri 1 e 6). Inoltre, i pin SDA e 
SCL vanno connessi ai pin 3 e 5 del Raspberry. 
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LA SELEZIONE 
0 2 Il modulo PN532 è in grado di fornire dati tramite 
UART, SPI, e 12C. Siccome noi usiamo questo, per- 
ché è il più facile, bisogna selezionarlo spostando i jumper: 
SELO deve essere impostato su ON e SELI1 deve essere OFF. 


Verificare se la carta contactless è sicura 


Con la nostra immagine per Raspberry Pi si può controllare se una carta è schermata 


SCRIVERE L'IMMAGINE 

Se avete deciso di usare la nostra immagine pron- 

ta all'uso, disponibile nel DVD, basta scriverla su 
una scheda microSD da 32 GB e inserirla in un Raspberry Pi 
3. Acceso il Raspberry, possiamo cercare la sua rete Wi-Fi 
usando un PC o uno smartphone. 
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Contactless grabber 


Qu trovi tuttsì dati rlevati sulle carte passate vicino al lettore 


2019-GT-20.16-41-49.t11 
2019-07-20_16-19-57.tnt 


Se i dati della tua carta appaiono qui, significa che è vulnerabile 
La ua carta è dnerabie. Cosa significa? 
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PASSARE LA CARTA 

L'interfaccia web è molto semplice: basta passa- 

re la propria carta contactless sul lettore e vedere 
se appaia un nuovo file nell'elenco. Se non viene presenta- 
to alcun file, significa che la carta è adeguatamente coperta 
(quindi il portafogli è ben schermato). 
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Contactless grabber 
Qui trovi tutti | dati rievati sulle carte passate vicino al lettore 
Nessun dato 


Sei dati della tua carta appaiono qui, significa che è vuinerabile 
La eni cari ble. Cosa grtica 


ACCESS POINT WIFI 

La rete Wi-Fi si chiama RaspiContactles- 

sGrabber, e la password di accesso è linuxmag- 
cardgrabber. Questi dati si possono cambiare modificando 
il file /etc/hostapd/hostapd.conf. Il Raspberry è raggiun- 
gibile all'indirizzo 192.168.1.1. 


* MIFARE Plus (7 Byte UTD) 4R, Security tevel 3 
Other possible sat 


0612; Tina: A0:40:03; 
DO; Time: 40:40:03; 
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ECCO IL FILE DI TESTO 
0 La lettura è lenta, quindi bisogna lasciare la carta 
vicina al sensore per qualche secondo. Se sono stati 
recuperati i dati-della carta contactless, è possibile leggere il 
file txt per scoprire quali informazioni vengono prelevate, e 
capire quindi quanto si sta rischiando. 


LA MIA CARTA È VULNERABILE, COSA FARE? 


Il modo giusto per eseguire il test è di mettere la carta di 
credito nelle stesse condizioni in cui la si tiene di solito: nel 
portafogli dentro una borsetta femminile, un borsello maschile, 
o direttamente in tasca. Poi bisogna avvicinare il lettore all’og- 
getto che contiene la propria carta per una decina di secondi (il 
nostro software è volutamente lento per renderlo inefficiente 
per un criminale). Se i dati della carta vengono letti, vuol dire 
che la nostra carta è vulnerabile. Per fortuna, esiste una solu- 
zione semplice e poco costosa: basta schermare la carta dalle 
onde radio inserendola in una apposita bustina fatta di plastica 


e alluminio. Se ne trovano su Amazon per pochi euro. Sono 
anche disponibili delle carte Jammer, che emettono un segnale 
sulla stessa frequenza delle carte di credito interferendo con i 
lettori, quindi basta tenerne una nel portafogli per proteggere 
tutte le proprie carte. In alternativa, la soluzione casalinga è 
riporre la carta, nel proprio portafogli, avvolta in un foglio di 
pellicola d'alluminio, quella usa per gli alimenti. Pren- 
dete queste precauzioni e ripetete il test: dovreste notare che 
persino appoggiando la carta direttamente sul lettore, senza 
nemmeno chiuderla nel portafogli, la lettura non sarà possibile. 
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Si tratta solitamente di compiti svolti da persone differenti, tutte ap- 
partenenti a organizzazioni criminali. 


IL PROBLEMA 
DELLE CARTE CONTACTLESS 


Legate alle statistiche sugli acquisti online, uno dei problemi sono le 
carte contactless: queste espongono fisicamente anche dati molto 
sensibili, che un criminale potrebbe usare per eseguire acquisti onli- 
ne. Le carte contactless hanno una semplice bobina RFID, cioè una 
minuscola antenna. Il problema è che, proprio per poter effettuare 
il pagamento, queste carte offrono dati sensibili a chiungue abbia 
un lettore RFID. In teoria la potenza è bassa, e non dovrebbe 

essere possibile intercettare le informazioni della carta ol- 
tre i 10cm di distanza. Ma non è comunque detto che 


numero di serie della carta (PAN) e la data di scadenza. Mancano 
quindi nome e cognome dell’intestatario, per ovvi motivi di sicu- 
rezza, anche se in realtà è una informazione non troppo difficile da 
recuperare per un criminale. Tra i dati rilevati con il software che pro- 
poniamo manca anche il CVV, il codice di verifica. Tuttavia, bisogna 
ricordare che non tutti i siti web richiedono l’inserimento del CVV per 
autorizzare una transazione. Amazon, per esempio, richiede il CVV 
solo se sospetta che gli acquisti possano non essere legittimi ma, 
considerate le rapide spedizioni offerte, è possibile per un criminale 
farsi inviare un oggetto costoso con la nostra carta di credito prima 
che venga scoperto. Il fatto che un criminale possa leggere il nume- 
ro e la data di scadenza della nostra carta di credito semplicemente 
passandoci vicino per strada, in un bar, o sui mezzi pubblici, è 
preoccupante, e bisogna prendere delle precauzioni. 


questo sia sufficiente a proteggerci: se abbiamo l’abi- Da 85 4.902 

tudine di tenere la carta nel portafogli, inserito a sua EURO LA CLONAZIONE DELLE CARTE 
volta nella tasca posteriore dei pantaloni, la carta è SEQUESTRATI DALLA Un altro tipo molto remunerativo di frode è il counter- 
in realtà esposta. Un malintenzionato con un lettore “ GDF NEL 2018 TRA feit, cioè la contraffazione. In altre parole, la clona- 
RFID dentro uno zaino potrebbe entrare in un auto- FRODI CON CARTE zione di chip&pin. Questo tipo di frode è diminuita, 
bus o una metropolitana affollata e passare vicino alle tai FALSE. perché non è così semplice clonare le carte dotate di 


persone. Siccome è difficile rendersi conto dell’effettiva 
portata di questa vulnerabilità, abbiamo sviluppato una di- 
stribuzione per RaspberryPi che vi permette di capire quanto la 
vostra carta sia sicura, simulando uno di questi attacchi. Tutto quello 
di cui si ha bisogno è un RaspberryPi3, una scheda microSD da 32 
GB, e un lettore RFID-NFC (ci baseremo sull’economico PN352 bre- 
akout board, http://bit.ly/pn352. E, ovviamente, un alimentatore per il 
Raspberry: un criminale userebbe una powerbarik per alimentare il 
Raspberry tenendolo nello zaino, ma per fare le nostre prove basta 
un classico alimentatore 5V e 2A. Il sistema operativo che abbia- 
mo preparato trasforma il Raspberry in un access point: accedendo 
alla sua interfaccia web tramite WiFi, anche con lo smartphone, è 
possibile vedere in tempo reale le informazioni che il dispositivo rie- 
sce a prelevare dalle nostre carte di credito o debito. Basta passare 
la carta sul dispositivo e vedere se, nell’interfaccia web, appaia un 
nuovo file di testo. Nel caso, basta leggerlo per controllare tutte le 
informazioni estorte. 

Precisiamo che il codice che forniamo proviene dal progetto http:// 
bit.ly/nfemillionaire, e permette solo la registrazione di dati come il 


Fig. 3 - Usando la nostra distro per Raspberry si può verificare se la 
propria carta contactless sia abbastanza protetta 
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chip. Chiariamo un passaggio: non è affatto impossibile, 

e infatti questo tipo di frode è ancora esistente, è solo diffi- 
cile e in molti casi non ne vale la pena perché ci sono metodi più 
semplici per rubare denaro. Ma alcuni criminali lo fanno ancora: nel 
2017 (ultimo anno per cui abbiamo i dati) solo nel Regno Unito sono 
stati sottratti oltre 20 milioni di euro con la clonazione delle carte. La 
clonazione di una carta può essere ottenuta creando dei terminali 
POS malevoli, o infettandoli con del malware in grado di copiare 
tutti i dati dalla carta inserita. Il professor Anderson ha dimostra- 
to con il suo team quanto sia facile infettare un classico terminale 
POS con un hardware e software a proprio piacimento: per la dimo- 
strazione hanno implementato il gioco Tetris e lo hanno fatto girare 
sullo schermo del POS. Ma non solo: hanno dimostrato quello che 
chiamano relay attack. Hanno modificato un terminale POS per 
consentire l'inoltro dei dati della carta a un dispositivo dotato di una 
carta finta. Quando la vittima ha inserito la propria carta nel lettore 
e ha inserito il pin, sul pc portatile di uno degli studenti di Anderson 
è arrivato un messaggio che indicava i vari dati. AI portatile, tenuto 
dentro uno zaino, era collegata una finta smartcard: in aspetto iden- 
tica a una carta di credito, ma con un cavetto che permette di pro- 
grammarla in tempo reale. Allo studente è bastato inserire la carta in 
un bancomat per prelevare del denaro contante. È possibile perché 
alcuni venditori acquistano i loro terminali POS su siti come Ebay 
o AliExpress, anche usati. | criminali non fanno altro che prendere 
dei terminali legittimi, modificarli con del malware (sia software che 
hardware), e rivenderli a basso prezzo. Il venditore presso cui fac- 
ciamo i nostri acquisti è solitamente del tutto all’oscuro del fatto che 
il suo terminale è stato manomesso. Con i dati prelevati, i malinten- 
zionati possono poi creare una copia della nostra carta: solitamente, 
perché è la cosa più facile, vengono copiati solo i dati necessari 
per simulare le informazioni della banda magnetica, in quello che 
è chiamato mag-stripe fallback attack. Tutte le carte, infatti, sup- 
portano ancora i pagamenti con banda magnetica, perché in alcuni 
paesi come India e Cina il sistema chip&pin non è disponibile su 
tutti i terminali. In altre parole, il criminale è solitamente residente in 
un paese che non ha proibito l’uso della banda magnetica: legge i 


Fig. 4 - Il criminale deve solo 
apporre una slim SIM sopra 
una carta di credito rubata 

per usarla senza dover inserire 
il pin, in alcuni paesi 


nostri dati dal chip attraverso un terminale POS che ha manomesso 
a insaputa del venditore, poi usa quei dati per creare una copia della 
nostra banda magnetica, esce di casa e va a fare acquisti metten- 
doli sul nostro conto. Per questo motivo è fondamentale, tramite 
il proprio online banking, assicurarsi che le transazioni con banda 
magnetica siano disabilitate. Questo tipo di attacco è avvenuto nel 
Regno Unito: alcune persone si sono presentate presso delle stazio- 
ni di servizio Shell, sostenendo di essere addetti alla manutenzione 
delle colonnine di pagamento per il rifornimento self service. Hanno 
così potuto modificare il lettore di carte, in modo da rubare il denaro 
dei clienti per un totale di centinaia di migliaia di sterline prima che 
qualcuno se ne accorgesse. In Thailandia, un poliziotto ha notato un 
personaggio che stava usando una carta di credito completamente 
bianca presso un bancomat. Perquisendo la sua valigia sono state 
trovate più di 3000 smartcard prodotte clonando altrettante carte 
chip&pin grazie all’intercettazione dei terminali per il pagamento nei 
parcheggi BP del Regno Unito. In particolare, veniva intercettato il 
PIN Entry Device, cioè il tastierino numerico: ovviamente, i segna- 
li elettrici dei pulsanti non vengono crittografati prima di arrivare al 
processore del POS, quindi intercettandoli si può leggere il pin. Que- 
sta cosa è peggiorata dal fatto che spesso le colonnine per paga- 
menti dispongono di una chiave standard per essere aperte. E per 
dei malintenzionati con le giuste conoscenze non è troppo difficile 
procurarsi le chiavi e modificare i lettori di carte fingendosi dei tec- 
nici autorizzati. Secondo il consorzio EMV, i dispositivi POS dovreb- 
bero essere tamper resistant, cioè resistenti alla modifica. Vuol dire 
che se qualcuno modifica un terminale POS dovrebbe non funzio- 
nare più, o eventualmente dovrebbe almeno essere impossibile ri- 
assemblarlo correttamente, insospettendo il cliente. Nelle previsioni 
di VISA, eludere le protezioni di un terminale POS dovrebbe costare 
almeno 25000 dollari. Ma gli studenti del professor Anderson hanno 
scoperto che perforando i terminali nei punti giusti bastavano poche 
decine di dollari per riuscire a leggere i dati delle carte inserite nel let- 
tore. Il team ha scoperto queste vulnerabilità nel 2008, segnalando 
la cosa alle aziende del consorzio EMV, ma queste hanno risposto 
sostenendo che non fosse un problema grave. Tuttavia, pochi mesi 
dopo due fratelli sono stati arrestati a Birmingham perché erano ri- 
usciti a entrare nella rete di distribuzione dei terminali di Ingenico e, 
prima di spedirli ai destinatari, inserivano dei chip che permettevano 
proprio l’intercettazione dei dati delle carte di credito. 

Connesso alla manomissione dei terminali POS, esiste anche il pre- 
play attack, che è stato registrato inizialmente in Spagna e Francia, 
ma si è diffuso a molti paesi. Quello che i ricercatori hanno scoperto 
è che il cliente, mentre è convinto di pagare una piccola somma, 
si trova nell’estratto conto con una somma multipla. | preplay at- 
tack funzionano un po’ come i relay attack con la differenza che 
a essere sfruttata è una vulnerabilità nel calcolo dei codici univoci 


delle transazioni (ARQC). In teoria, ogni transazione dovrebbe es- 
sere identificata da un codice univoco prodotto unendo un numero 
casuale generato dal terminale e uno generato dalla carta. Tuttavia, 
infettando i terminali POS con un trojan è possibile copiare i numeri 
delle transazioni, e ripeterle modificando il destinatario della transa- 
zione. Un server configurato correttamente dovrebbe rifiutare ARQC 
duplicati, ma alcuni server non annullano le richieste duplicate ed 
è possibile per i criminali comprare oggetti costosi riutilizzando dei 
codici ARQC usati in origine per transazioni legittime. Non solo: i 
ricercatori del team del professor Anderson hanno anche scoperto 
che con alcune carte è possibile prelevare abbastanza informazioni 
dalla carta per poter poi generare un nuovo codice univoco di tran- 
sazione apparentemente genuino, con il quale prelevare denaro da 
un bancomat. E non c’è un modo facile per arrestare i criminali. “A 
differenza del passato”, ci rivela il colonnello Giovanni Reccia, “ne- 
gli ultimi anni si è registrata la tendenza della vendita dei dati delle 
carte violate, ottenendo guadagni dalle vendite delle stesse anziché 
rischiare con il prelevamento dei fondi disponibili”. Il risultato è che 
diventa difficile colpire i criminali che hanno effettivamente eseguito 
la clonazione della carta o dei suoi dati. 


QUANDO UNA CARTA VIENE RUBATA 


Il terzo importante metodo è il semplice furto della carta fisica. Ulti- 
mamente, questo metodo è in realtà anche più importante, in termini 
di giro d’affari criminale, della clonazione della carta. Infatti, se si 
ruba una carta, o la si trova dopo che qualcuno l’ha smarrita, bi- 
sogna solo aggirare il problema del pin. Usando il no-pin attack, 
una ricerca che il team del professor Anderson ha iniziato in seguito 
a un gran numero di persone che si sono rivolte a lui segnalando 
che, dopo il furto della loro carta, qualcuno era riuscito a effettuare 
pagamenti prima del blocco. Gli utenti sostenevano di non avere 
scritto il pin da nessuna parte, quindi non si capiva come potes- 
sero conoscerlo i criminali. Quello che i ricercatori di Cambridge 


ATTENTI ALL'ONLINE 
BANKING 


Ultimamente si stanno osservando anche frodi relative ai 
sistemi di online banking, perché i metodi di protezione non 
sono troppo sicuri. Infatti, è possibile per un pirata ottenere 
buona parte dei dati di accesso con lo stesso metodo con cui 
si copiano i codici per gli acquisti online, con il phishing e gli 
spyware. l token casuali rischiano, dopo un po' di tempo, di 
non essere così casuali come si potrebbe credere, e i pirati 
possono trovare un modo di stimare il codice token, acce- 
dendo al sistema di home banking. Molte banche stanno 
passando dal sistema dei token fisici a interfacce basate sulle 
app per smartphone. AI momento, però, non abbiamo abba- 
stanza dati per stabilire la sicurezza di ciascuna delle varie 
implementazioni. Considerando il gran numero di malware 
per smartphone, è importante che le app vengano aggiorna- 
te spesso e che gli smartphone usati per accedere al proprio 
conto in banca siano trattati con molta cautela (a esempio: 
non bisogna installare altre app da fonti inaffidabili). 
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Fig. 5 - La slimSIM dice al terminale che il pin è valido, e alla carta che la transazione è verificata dalla firma del cliente 


{Ross Anderson, Cambridge) 


carta rubata viene inserita in un lettore di smartcard connesso a un 
computer portatile cui è connessa anche una carta finta che, come 
per il relay attack, ha un cavetto che ne permette la programma- 
zione in tempo reale. Il software presente sul computer fa 
da intermediario tra la carta rubata e il terminale POS, 
inviando degli appositi codici (che non riveliamo per 
ovvi motivi di sicurezza) suggerendo alla carta che la 
transazione sia stata verificata dalla firma e sugge- 
rendo al terminale che il pin sia stato verificato dalla 
carta. Quindi il terminale POS è convinto che il pin 
sia valido, anche se in realtà il criminale ha inserito un 
pin a caso. La carta offre i suoi dati per la transazione 
perché è convinta che il terminale non richieda il pin, ma 
solo la classica firma sullo scontrino (che in realtà ormai non 

si usa quasi più, ma è comunque supportata dallo standard). In te- 
oria è possibile scoprire questo attacco, perché i log del terminale 
e della smartcard sono differenti, ma non è così semplice, perché è 
necessario riprogrammare una parte consistente delle infrastrutture 
(i terminali POS, i server degli istituti di credito, ecc...). “Dopo che 
abbiamo reso pubblica l’esistenza del no-pin attack”, ci ha rivelato 
il professor Anderson, “abbiamo discusso con il sistema bancario. 
Ci sono stati alcuni tentativi di risolvere il problema, ma non troppo 
persistenti. Una soluzione efficace è arrivata solo sei anni dopo (nel 
2016-2017, n.d.r.), e comunque non funziona per le transazioni ese- 
guite in posti come la Cina”. Nonostante il fix, questo tipo di attacco 
è ancora importante in termini del giro d’affari criminale: “gli exploit 
che vediamo al momento per quanto riguarda le lamentele che rice- 
viamo dalle vittime di frode”, ha aggiunto Ross Anderson, “sono più 
che altro i preplay attack, cioè casi in cui la vittima esegue acquisti 
da venditori disonesti”. Tuttavia, il professore prosegue indicando 
che “al secondo posto tra gli attacchi c’è il no-pin attack su car- 
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te rubate soprattutto all’estero (cioè fuori dal Regno Unito, n.d.r.)”. 
Purtroppo, non esiste una lista completa dei paesi in cui questo bug 
non è ancora stato risolto. 
Questo attacco è diventato recentemente anche più facile 
da condurre, perché si può usare una “slim SIM”. Si trat- 
ta di una smartcard che ha i contatti su entrambe le 
facce ed è spessa solo 160 micron. “La si può facil- 
mente programmare in Javacard”, spiega Anderson, 
“e questo permette al criminale di intercettare (la co- 
municazione tra terminale POS e carta rubata, n.d.r.) 
usando un minuscolo dispositivo applicato proprio 
sopra la carta rubata”. In questo modo un criminale 
deve solo rubare una carta e applicarvi la slim SIM per 
cominciare a usarla, senza alcun bisogno di conoscere il pin, 
soprattutto se ci troviamo in un paese che non supporta le correzioni 
al protocollo implementate negli ultimi anni. Quindi è fondamentale 
bloccare la propria carta immediatamente, appena ci si accorge di 
averla persa. 


I DIRITTI DEL CLIENTE 


A questi problemi tecnici si aggiunge un problema di natura “legale”. 
All’inizio, l'ostacolo da superare era la resistenza dei venditori a do- 
tarsi di nuovi terminali POS capaci di leggere chip&pin invece della 
sola banda magnetica. Per questo motivo le società del consorzio 
EMV hanno introdotto il “liability shift”. In poche parole, hanno deci- 
so di garantire che una transazione eseguita con chip&pin sarebbe 
sempre stata considerata valida per il venditore. La decisione, ov- 
viamente, presuppone che nel caso avvenga una frode (come quelle 
che abbiamo descritto) sia il sistema bancario stesso a assorbire le 
perdite, eventualmente rifacendosi sui clienti che non hanno pro- 


tetto adeguatamente carta e pin. Naturalmente, le banche cercano 
sempre di venire incontro ai clienti, per evitare che il pubblico perda 
fiducia nella tecnologia, ma raramente il pubblico legge i contrat- 
ti e conosce i suoi diritti. Nella speranza di favorire la trasparenza, 
abbiamo contattato le principali banche italiane: Banca Nazionale 
del Lavoro, Banca Popolare di Milano, Credem, Iccrea, Ing, Inte- 
sa San Paolo, Monte dei Paschi di Siena, Ubi Banca, e Unicredit, 
chiedendo loro di riassumere alcuni punti fondamentali riguardo le 
frodi basate su carte di credito e debito. Soltanto Credem, lccrea, e 
Intesa San Paolo ci hanno risposto. Sostanzialmente, i servizi offerti 
dalle banche per la protezione del cliente sono molto simili: tutte 
mettono a disposizione l’alert SMS in caso di acquisti online che 
fisici. Nel caso si abbia subito il furto della propria carta bisogna 
immediatamente effettuare il blocco ricorrendo all’apposito numero 
verde della propria banca. Intesa San Paolo permette il blocco della 
carta anche dalla propria app. In linea di massima, comunque, il 
disconoscimento delle operazioni, fondamentale per ottenere il rim- 
borso, deve essere fatto presso la propria filiale. Riguardo le condi- 
zioni per la restituzione del denaro sottratto dai criminali, riportiamo 
qui di seguito le risposte che abbiamo ricevuto. 


Credem 

Credem, tutela i propri clienti ove sia stata effettuata una frode per la 
quale non ci sia stata colpa grave del cliente (es. truffa senza inse- 
rimento di password di sicurezza che solo il cliente può conoscere). 
Ogni singola richiesta di disconoscimento viene pertanto valutata dalla 
banca viste le innumerevoli casistiche di truffe che oggi esistono sul 
web. Il rimborso viene effettuato in tutti quei casi, valutati singolarmen- 
te, in cui non sia presente la negligenza o la colpa grave del cliente. 


lccrea 

Premesso che a oggi il chip della carta non è clonabile, o per meglio 
dire non si è ancora riusciti a farlo, il rimborso avviene se è possi- 
bile il recupero dall'esercente dell'importo o, a spese della banca, 
se non è evidente una 'colpa grave' del cliente. Ad esempio, una 
transazione fraudolenta avvenuta con lettura chip e inserimento pin 
difficilmente viene rimborsata in quanto qualcuno deve aver rivelato 
(o custodito con la carta stessa) il pin al fraudster. 


Intesa San Paolo 

Per legge la Banca è tenuta a riaccreditare l'importo delle operazioni 
disconosciute entro un giorno lavorativo dalla ricezione della richiesta 
di disconoscimento o da quando rileva in autonomia possibili opera- 
zioni non autorizzate dal cliente. La Banca ha tuttavia il diritto di otte- 
nere la restituzione delle somme riaccreditate, qualora sia successi- 
vamente dimostrato che le operazioni erano invece state autorizzate 
dal cliente oppure che il cliente aveva agito in modo fraudolento o non 
aveva adempiuto con dolo o colpa grave agli obblighi di custodia del- 
la carta e delle relative credenziali (es. PIN). Salvo che abbia agito in 
modo fraudolento, il cliente non sopporta comunque alcuna perdita 
nei seguenti casi: se la Banca per l'esecuzione delle operazioni non ha 
richiesto un’autenticazione forte del cliente, se lo smarrimento, la sot- 
trazione o l'appropriazione indebita della carta non potevano essere 
notati dal cliente prima dell'esecuzione delle operazioni. 


Una precisazione riguardo l’affermazione di lccrea: come dimostra- 
to dal team dell’università di Cambridge, alcune forme di clonazione 


della carta sono possibili, ed è anche possibile aggirare l’esistenza 
del pin almeno in alcuni casi. Come si può notare, tutte le banche 
che ci hanno risposto si riservano il diritto di non restituire al clien- 
te le somme se si trova una “colpa grave del cliente”. E possiamo 
ipotizzare che anche le altre banche lo facciano: se non conoscete 
la politica della vostra banca, è consigliabile chiedere informazioni 
in filiale. Il problema è che, come abbiamo visto, i criminali stanno 
già usando dei metodi che non richiedono alcuna colpa da parte 
del cliente, in particolare il no-pin attack e il preplay attack. Bisogna 
quindi sperare di poter dimostrare di non aver favorito i criminali in 
alcun modo, anche se non è sempre facile. Le “regole” da seguire 
ci vengono ricordate dal colonnello Giovanni Reccia: “è opportuno 
effettuare acquisti su siti affidabili, evitare di inserire credenziali in 
risposta a mail di dubbia provenienza, evitare di utilizzare password 
già utilizzate per altri servizi o facilmente riconducibili alla propria 
sfera personale o familiare e non custodire credenziali di accesso 
unitamente agli strumenti di pagamento elettronico”. Nel caso di una 
disputa con la propria banca, come suggerisce il colonnello Reccia, 
“la tutela nei confronti degli istituti di credito può essere esercitata 
attraverso gli ordinari strumenti civilistici”, iniziando proprio con il 
chiedere aiuto alla Guardia di Finanza. 


COSA CI RISERVA IL FUTURO? 


| bug che abbiamo descritto sono, ovviamente, già noti, e prima o 
poi verranno risolti del tutto dal consorzio delle carte di credito. Vie- 
ne quindi da chiedersi se, arginate queste falle, potremo finalmente 
essere al sicuro. La risposta è no, non potremo. Almeno, finché il 


LA LINGUA DEI T&C ITALIANI 


Quanto sono facili da leggere i contratti delle carte di credito pro- 
poste dalle principali banche italiane? Lo abbiamo chiesto alla dot- 
toressa Floriana Sciumbata, dottoranda in linguistica italiana delle 
Università di Udine e Trieste, esperta di semplificazione linguistica. 
“La leggibilità può essere misurata automaticamente”, ci spiega, “e 
per l'italiano esiste l'indice GULPease. Una formula che, calcolando 
la lunghezza di parole e frasi, genera una scala che va da 0 a 100. 
Più l'indice è alto, più un testo è leggibile”. La scala si divide poi 

in fasce di difficoltà in base al livello di istruzione dei lettori. “Un 
testo mediamente leggibile ha un indice di 60", continua, “ma quelli 
calcolati per i documenti delle banche sono tutti al di sotto del 50. 
Possiamo quindi considerartli difficili per il lettore medio italiano”. 
Si può quindi comprendere perché gli utenti abbiano difficoltà a 
capire i propri diritti e doveri. 
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Leggibilità GULPease dei contratti delle carte di credito 


SUTTETTTTTA 


xl 


Bi 8 €B08 


i 


0000 
rose 


Linux Magazine 221 7 


W Carta contraffatta 


Fig. 6 - Dal 2015, anno di introduzione del fix per il no-pin at- 
tack, l'aggiramento del PIN è diminuito, ma la clonazione (blu) è 
ancora comune 


sistema non verrà riprogettato da capo per essere più sicuro per 
natura, senza doversi per forza fidare del fatto che la maggioranza 
delle volte vada tutto bene. Il consorzio sostiene che il sistema sia 
sicuro (da qui il “liability shift”), ma si è trovato a dover aggiungere 
protezioni qua e là per evitare che questo sistema “sicuro” venga 
aggirato: dalla limitazione dell’uso delle carte in alcuni paesi agli 
alert sugli acquisti, dalla disabilitazione della banda magnetica 
allo sviluppo di carte CDA, sono tutti aspetti che hanno anche 
complicato il sistema e rendono più difficile mantenere gli 
aggiornamenti nel caso appaiano nuovi bug. E ogni 
volta che si tappa una falla, i criminali ne scoprono 
un’altra. E diversificano il modo di fare profitti. “Ol- 
tre alle carte di credito clonate”, rivela il colonnello 
Reccia, “sul Dark Web sono disponibili account di 
vari servizi di home banking oggetto di hackerag- 
gio, tramite le cui credenziali è possibile sottrarre 
disponibilità finanziarie ai legittimi titolari dei conti 
correnti violati”. Se copiare le carte diventa più diffici- 
le, i criminali attaccano l'home banking. Inoltre, aggiunge 
Reccia, “sono disponibili servizi relativi ai cosiddetti Bank Drops, 
nei quali il vendor si offre di effettuare una transazione su un conto 
corrente indicato dal cliente, dietro pagamento di una commis- 
sione pari ad una certa percentuale della transazione effettuata. 
Tale servizio viene generalmente richiesto quando si vuole celare 
la provenienza di una certa disponibilità finanziaria (ad es. frutto 
di violazione di carte di pagamento), che verrà inviata al vendi- 
tore, il quale si occuperà di recapitare la somma eventualmente 
“ripulita”, mediante un tradizionale bonifico bancario da un con- 
to corrente “pulito” a sua disposizione, generalmente intestato a 
terzi ignari”. Praticamente, il denaro rubato da una carta o su un 
conto viene spostato su un altro conto anch’esso violato: questo 
secondo conto corrente è nella disponibilità dei criminali ma a to- 
tale insaputa del legittimo proprietario. Se, quindi, il proprietario 
della carta da cui è stato rubato il denaro si accorge del furto e 
fa una denuncia, le forze dell’ordine risalgono soltanto al primo 
passaggio, cioè al conto verso cui è stato verso il denaro. Quindi 
diventa quasi impossibile risalire ai veri colpevoli, soprattutto se 
ci sono diversi passaggi tra più conti correnti. L'evoluzione delle 
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tecniche di clonazione delle carte di pagamento ha avuto come 
conseguenza l’aggiornamento delle tecniche di indagine da parte 
della Guardia di Finanza. “Le indagini tecniche vengono effettuate 
offline”, spiega Giovanni Reccia, “al fine di rinvenire eventuali infe- 
zioni sui dispositivi della vittima, ed online, per acquisire i dati delle 
risorse messe a punto dagli autori del reato”. Sono infatti sempre 
più i furti di credenziali dovuti a vari tipi di malware, e il Nucleo 
Speciale Tutela Privacy e Frodi Tecnologiche analizza i pc e smar- 
tphone delle vittime alla ricerca di spyware in grado di copiare le 
password e i token per l’accesso all’online banking o ai sistemi 
di pagamento (come PayPal). Non è un caso che ultimamente 
le banche stiano cercando di convincere i clienti a controllare il 
proprio conto corrente con una app invece che dal sito web: “le 
persone che fanno pagamenti online direttamente dal loro conto 
corrente”, ci spiega Ross Anderson, “sono sotto attacco da parte 
dei criminali che aggirano i codici di autenticazione e conferma 
SMS usando tre metodi: SIM swaps, SS7 hacking e malware per 
Android. Man mano che questi metodi verranno applicati su scala 
industriale finiranno probabilmente per imporre un cambiamento 
reale, dall’autenticazione SMS alle app”. In effetti, una app fa tutto 
da sola, quindi è meno vulnerabile rispetto a un sito web che di- 
pende dal browser web e dalla Javascript machine dell’utente. Il 
vero problema della app per l'online banking è che probabilmente 
ogni banca avrà la propria app, sarà un ecosistema molto vario. 
Quindi sarà molto difficile stabilire l'effettiva sicurezza di ogni sin- 
gola app. D'altro canto, anche per i criminali diventerà tutto più 
difficile, perché dovranno sviluppare un malware per ogni app. 
Come abbiamo detto, soltanto un sistema che sia sicuro 
per costituzione, come il sistema a doppia chiave tipico 
della firma digitale, e che non basi la sua sicurezza 

sulla fiducia che si ripone nell’infrastruttura digitale 

potrà proteggere davvero i clienti. 


| PROBLEMI DEI BITCOIN 


Le criptovalute dovrebbero essere sicure, giusto? In 
realtà no, non lo sono affatto. In questi anni le criptova- 

lute sono state viste come una sorta di soluzione magica 
ai problemi del denaro digitale, ma non è affatto così: l’unico re- 
ale vantaggio è un potenziale anonimato. “Le criptovalute sono 
disfunzionali, come metodo di pagamento”, spiega il professor 
Anderson. Il problema è che l’intero sistema di pagamenti è pri- 
vo di agenzie regolatrici e quindi non c’è alcuna garanzia sulla 
legittiminità. Di fatto, ci sono tre modi per avere un Bitcoin, oltre 
al mining: lo si può comprare da qualcuno in cambio di denaro 
reale, tenendolo in un proprio portafoglio sul PC. Ma non lo fa 
nessuno perché è una cosa scomoda. Oppure lo si può acqui- 
stare da un sito di exchange, tenendolo in un proprio portafogli 
ma consegnando le chiavi al sito: come l’acquisto di oro da un 
grande venditore chiedendogli di tenerlo nella cassaforte sotto il 
proprio nome. È abbastanza sicuro, perché se anche il venditore 
dovesse andare in bancarotta basta presentarsi con la ricevuta e 
ritirare il proprio oro. Oppure, lo si può acquistare da un sito di ex- 
change ma ottenendo solo una dichiarazione in cui il sito afferma 
di esserci debitore di un Bitcoin. Funziona come una banca, che 
non ha una cassaforte con il nostro nome e tutto il nostro denaro 
all’interno. Ha semplicemente un registro che indica quanto pos- 


sediamo, e quindi quanto ci è dovuto nel caso volessimo ritirare 
tutto il nostro patrimonio. Tuttavia, la banca non ha sempre la 
disponibilità per tutti i correntisti. 

Ecco, il problema è che la maggioranza delle persone che hanno 
Bitcoin pensa di operare secondo il paradigma dell'oro, ma in 
realtà si è affidata a siti web che lavorano sotto il paradigma del- 
la banca. La differenza è che con le banche reali esistono delle 
agenzie che si occupano di prevenire e controllare eventuali ban- 
carotte, frodi, furti, e il riciclaggio di denaro illegale. Mentre con le 
criptovalute questo non esiste. Quindi, volendo, i siti di exchange 
possono far sparire il denaro digitale. 

Il che non vuol dire che le criptovalute siano un concetto sbaglia- 
to, anzi: è probabile che in futuro il denaro comune verrà gestito 
proprio tramite criptovalute. Tuttavia, per tutelare i consumatori 
sarà necessario adottare delle regole stringenti, perché in assen- 
za di regole sono sempre i più prepotenti a sopraffare i cittadini 
onesti. “Il nostro suggerimento”, spiega il professor Anderson, “è 
che le agenzie regolatrici applichino semplicemente le leggi del 
sistema bancario ai siti di exchange per Bitcoin”. Questo cause- 
rebbe immediatamente la chiusura di tutti i siti che non possono 
garantire la liquidità necessaria a ripagare i clienti in caso di truffe. 
La mossa di Facebook di lanciare la criptovaluta Libra potreb- 
be muovere qualcosa: “quando una figura con le dimensioni e 
la moralità di Facebook entra nel mercato delle criptovalute, è 
probabile che questo spinga gli enti regolatori a fare il loro lavoro. 
Quando questo accadrà, bisogna aspettarsi una carneficina tra 
gli attuali squali del Bitcoin”. Il problema è che quando la politi- 
ca tenta di regolamentare qualcosa di molto tecnico spesso non 
ottiene gli scopi che si era prefissata e finisce con il danneggiare 


Sondaggio: in quali casi non si ottiene il rimborso 
dopo una frode su carta di credito? Anno 2015 


Prima di avere letto Termini&Condizioni 
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Molte persone credono di sapere quali siano le regole da seguire, ma 
solo dopo avere letto davvero T&C si rendono conto che le cose 
stavano diversamente. Questo dimostra che moolti semplicemenente 
non leggono T&C, forse perché li considerano troppo complicati 


parti del sistema, cambiandone la natura anche nei suoi aspetti 
positivi. L'esempio più recente è la normativa europea sul copy- 
right che, pur partendo da un concetto condivisibile, finisce per 
rischiare di far sparire intere produzioni da YouTube. Questo per- 
ché la tecnologia non è democratica: se un sistema funziona in 
un determinato modo, non si può decidere per votazione di farlo 
funzionare in modo differente. 


IN POCHE PAROLE 


Concludendo, il sistema chip&pin è certamente più sicuro del si- 
stema a banda magnetica. Tuttavia, non è affatto infallibile. E il 
pericolo per il consumatore sta proprio nella presunzione di infal- 
libilità del sistema da parte delle banche, che in base a questo si 
possono rifiutare di risarcire le vittime di frode. Come il professor 
Anderson ha ampiamente dimostrato, il sistema non è infallibile, 
e i criminali stanno già aggirando molti dei meccanismi di sicu- 
rezza prevista, incluso il pin, almeno in alcuni paesi e con alcuni 
istituti di credito. Con questa inchiesta speriamo di diffondere la 
consapevolezza dei punti deboli tra i consumatori, affinché ci si 
possa proteggere il più possibile dai criminali. E anche di smonta- 
re l'idea che le transazioni chip&pin siano del tutto sicure, sugge- 
rendo agli istituti bancari che il solo fatto che una transazione sia 
avvenuta tramite chip e pin non significa necessariamente che 
vi sia una “colpa grave” del cliente. Per il futuro c’è da chiedersi 
se le criptovalute, con le dovute regolamentazioni per evitare gli 
abusi che già adesso stiamo vedendo, saranno in grado di offrire 
maggiore sicurezza agli utenti, semplificando i pagamenti e evi- 
tando i furti di denaro. 


La comprensione del testo di T&C per 

le carte di credito in Germania, Regno Unito, P3 SO RICER 

e Stati Uniti d'America nel 2015 negli 
USA erano 
ancora molto in 
uso le carte a 
banda magnetica, 
dal funzionamento 
più semplice 


n DE (%) 
mUK (%) 
= USA (%) 
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<<Tre banche (Monte dei Paschi di Siena, Unicredit, e la Banca Nazionale 
del Kenya) forniscono indicazioni vaghe, come invitare gli utenti a 
utilizzare il "buon senso" o la "dovuta attenzione".>> 

Confronto tra 30 banche internazionali, anno 2015, tinyurl.com/creditcardTo 


T&C contengono 
indicazioni chiare 
riguardo: 


»m Distruzione lettera con il PIN 
® Riutilizzo di PIN vecchi 

® Modifica del PIN 

m Scrittura del PIN su foglietti 


Fig. 7 - Forse, il problema più grave è che i clienti hanno difficoltà a capire i contratti, e quindi quali siano i loro diritti e doveri 
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USB PER I TUOI RICORDI 


Copiare tutto l’archivio fotografico su una pendrive USB? Nessun 
problema, ma l’operazione richiede un certo tempo 


e inaspettatamente il vo- 
Sr PC dovesse piantarvi 

in asso e non fosse più ri- 
parabile, sarebbe per voi doloro- 
so dover “metabolizzare” la per- 
dita dei vostri brani musicali e 
film a cui tenete. Non poter recu- 
perare anche solo alcune foto e 
videoclip può infrangervi il cuore. 
Le foto di un’intera vita possono 
però essere messe al sicuro, ri- 
correndo a una pendrive USB. 
La cosa interessante è che le 
pendrive USB come i 12 modelli 
testati da 256 Gigabyte, posso- 
no essere acquistate fin dalla 
modica cifra di circa 33 Euro, e la 
loro memoria è in grado di con- 
tenere oltre 50.000 immagini! È 
consigliabile però che gli acqui- 
renti stiano alla larga da modelli 
di pendrive troppo economici. 


MINUSCOLE 
O VOLUMINOSE 


Chi è alla ricerca di una pendrive 
non dovrebbe lasciarsi attrarre 
solo dall’estetica poiché, ad 
esempio, una chiavetta con un 
case elegante come la Sandisk 
Extreme Pro non rende il dispo- 
sitivo migliore. E la Flash Voya- 
ger GTX di Corsair pesante 52 
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grammi, non si rivela più efficien- 
te solo perché le sue dimensioni 
sono quasi simili a quelle di una 
barretta di Mars. Si passa poi 
all'estremo, con la Fit Plus di 
Samsung, pesante appena tre 
grammi e leggermente più gran- 
de di un connettore USB Tipo A 
(vedi tabella in ultima pagina). 


CERCASI NUOVO 
STANDARD USB 


Molto più importante del-l’esteti- 
ca è però la velocità delle chia- 
vette e proprio sotto questo 
aspetto, tutte le pendrive USB, 
pare che abbiano un “freno” in- 
corporato. Come mai? Questi 
dispositivi lavorano ancora con 
lo standard USB 3.1 Gen 1 anzi- 
ché con il più veloce USB 3.1 
Gen 2. Alla data di esecuzione 
del test, non siamo riusciti a tro- 
vare sui siti d’acquisti online nes- 
sun modello dotato della veloce 
tecnologia Gen. 2. Questo è as- 
solutamente sorprendente, poi- 
ché questo standard trova final- 
mente impiego anche su PC e 
notebook economici. Vantaggio: 
anziché eseguire il trasferimento 
di dati alla velocità massima di 
circa 450 Megabyte al secondo, 


la tecnologia USB 3.1 Gen 2 
consente di trasferire dati da 
pendrive a PC e viceversa, alla 
velocità massima di 800 Megab- 
yte al secondo. 


ENORMI 
DIFFERENZE 

DI VELOCITA 

Non basta però solo lo standard 
USB 3,1 Gen 2 ad assicurare 
una velocità di trasferimento ele- 
vata. Per una velocità significati- 
va si rivelano determinanti anche 
i moduli della memoria, che de- 
vono essere di ottima qualità e, a 
bordo della pendrive, deve esse- 
re presente un controller come si 
deve. Inoltre anche la chiavetta 
migliore e più veloce, può ese- 
guire la copia dei dati non rapi- 
damente, se la porta USB del 
PC o del notebook, è lenta. 

Nelle prove di laboratorio, i can- 
didati al test hanno sfruttato 
condizioni ottimali e nessuna 
porta utilizzata si è rivelata lenta 
ma, malgrado ciò, sono state ri- 
scontrate enormi differenze di 
velocità. Nella lettura e scrittura 
dei dati, la velocità media ha 
oscillato da 14 a 219 Megabyte 
al secondo. Chi, ad esempio, 


vuole mettere al sicuro 50.000 
foto copiandole sulla pendrive di 
Corsair, necessiterà solo di 19 
minuti, mentre la Wish 2019 
New Large Capacity richiede cir- 
ca cinque ore. 


WISH: LE PENDRIVE 
SONO SPAZZATURA 


Relativamente al modello 2019 
New Large Capacity, le sorprese 
negative sono state più d’una. 
Abbiamo provveduto ad acqui- 
stare questo modello dal rivendi- 
tore online Wish, assieme alla 
chiavetta “Huawei” Metal Ring 
Waterproof, rimanendone sfavo- 
revolmente stupito. 

Anziché la memoria promessa 
da 256 Gigabyte, la pendrive 
“Huawei” era dotata di una me- 
moria di soli 16 Gigabyte, men- 
tre la chiavetta 2019 New Large 
Capacity offriva una memoria di 
soli 8 Gigabyte. Illusione perfet- 
ta: con Windows 10 le chiavette 
riescono a far credere all’utente 
di essere da 256 Gigabyte. Inve- 
ce, con Linux e il classico fdisk si 
nota immediatamente la reale di- 
mensione. Ancora più grave è il 
fatto che, se un utente decide di 
mettere al sicuro su una chiavet- 


DETTAGLI 


SUI CONNETTORI 


USB 3.1 Tipo A 

Tutti i candidati al test offro- 
no il connettore Tipo A. Per 
conoscere esattamente se si 


9 rame - tor de > tratta dello standard USB 
o Lai emes®a DR sii pre» È 3.1 Gen1 0 Gen2, gli acqui- 
bi È Lao ii So Pea = “AN À renti dovranno consultare le 
è LN sar e va (aa <muret i Ma te, istruzioni della pendrive. 
N so ir en pa AI 
NN a iaia ni TIE SITRNA Wie a. 
è Le9 IR RIMA or Dad 
_S e FIATI o i ci - 5 
A » Sr » © di. O è veve e GI bh n A o 
è 


ta 100 Gigabyte di videoclip, 
questi modelli, dopo aver utiliz- 
zato tutta la capienza di 16.08 
Gigabyte, sovrascrivono le clip 
precedentemente già copiate e 
sulla chiavetta vengono memo- 
rizzati solo gli ultimi 16 o 8 Gi- 
gabyte di dati copiati. Conclu- 
sioni: queste pendrive possono 
andar bene solo per essere get- 
tate nella spazzatura. Non appe- 
na abbiamo scoperto questa 
frode, abbiamo presentato rimo- 
stranze a Wish, e abbiamo otte- 
nuto la restituzione di quanto 


pagato al momento dell’acqui- 
sto. Vi consigliamo di far valere 
sempre i vostri diritti. 


50 CADUTE? 
NESSUN PROBLEMA! 


Una velocità elevata è importan- 
te, ma le pendrive devono esse- 
re anche robuste. La maggior 
parte dei modelli testati non è 
proprio economica e i dati me- 
morizzati su queste chiavette 
sono spesso preziosi. La buona 
notizia è che i dodici candidati 
hanno tutti superato il test del 


VELOCITÀ A CONFRONTO 


Dal test sono emerse enormi differenze di velo- 
cità: ad esempio, la Corsair Flash Voyager 50 è 
stata in grado di copiare sul PC un film da 4,7 GB 
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tamburo rotante resistendo a 50 
cadute dall’altezza di 50 centi- 
metri, senza riportare danni fun- 
zionali. 


CONCLUSIONI 


Corsair offre la pendrive per 
contenere i ricordi di una vita in- 
tera: nelle prove, la costosa (83 
Euro) Flash Voyager GTX si è ri- 
velata convincente per un’eleva- 
tissima velocità e una struttura 
robusta. Inoltre, pur non essen- 
do economica, è anche la vinci- 
trice del rapporto qualità/prezzo. 


in appena 18 minuti, mentre la 2019 New Large 
Capacity di Wish, per copiare lo stesso quantita- 
tivo di dati, ha richiesto quasi cinque ore! 


USB Tipo C 

Anche osservando i nuovi, 
compatti connettori USB-C 
non è possibile riconoscere 
a quale classe di velocità ap- 
partengono. Questo connet- 
tore è compatibile con gli 
standard USB 2.0, USB 3.1 
Gen 10 USB 3.1 Gen 2. 


Micro-USB 

Anche per i connettori Mi- 
cro-USB utilizzati per lo più 
con gli hard disk esterni, va- 
le la stessa regola: questi 
connettori, a seconda del di- 
spositivo, sono in grado di 
supportare la tecnologia 
USB 2.0 USB 3.1 Gen 1 oppu- 
re USB 3,1 Gen 2. 


Apple Lightning 

Apple utilizza sempre qual- 
cosa di diverso: per il trasfe- 
rimento di dati e per la rica- 
rica della batteria, iPhone e 
iPad (ad eccezione del Pro 
11 e 13) utilizzano un con- 
nettore piatto Lightning. 
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PENDRIVE USB 
A CONFRONTO 


CORSAIR 
FLASH 


VOYAGER GTX 


Prezzo: 83 Euro 
http://bit.ty/cflashvgtx 


RISULTATI DEL TEST 


Aquale velocità è possibile scrivere dati sulla pendrive USB? 
Copia di grandi file 

Copia di file di medie dimensioni 

Copia di piccoli file 

Miglior tempo di accesso in fase di scrittura dati 

A quale velocità è possibile leggere dati dalla pendrive USB? 
Copia di grandi file 

Copia di file di medie dimensioni 

Copia di piccoli file 

Miglior tempo di accesso in fase di lettura dati 
Idoneità della pendrive per un utilizzo quotidiano? 
Dimensioni (Altezza x Larghezza x Spessore) in rapporto 
alla capienza / Peso 

Protezione dei contatti / Possibilità di fissaggio 


Usabilità / Qualità costruttiva (opinione personale del tester) 


Test di caduta 
Software in dotazione o accessori 
Malus 


RISULTATO DEL TEST 


46% 


| protezione /si 


I 


Capienza utilizzabile: 256 GB 
Prezzo per GB: 32,42 centesimi 
Connettore: USB 3.1 Gen 1 Tipo A 


molto veloce (310 MB/5) 
molto veloce (281 MB/s) 
molto veloce (42 MB/s) 
molto veloce (0,07 ms) 
Elevata velocità di lettura 
molto veloce (357 MB/6) 
molto veloce (281 MB/s) 
molto veloce (44 MB/s) 
molto veloce (0,13 ms) 
Formato un po’ voluminoso 
grande (7,82 x 2,64 x 1,09 cm) / 
molto elevato (51,92 g) 

si, completa, con cappuccio di 


protezione con cappuccio, qualità 
costruttiva super, può eventualmen- 
te nascondere altre porte 

superato 

nessuno 

nessuno 


VERBATIM 
STORE "N'G0V3 


Prezzo: 33 Euro 
http://bit.ly/vstorengo 


Aquale velocità è possibile scrivere dati sulla pendrive USB? 
Copia di grandi file 

Copia di file di medie dimensioni 

Copia di piccoli file 


Miglior tempo di accesso in fase di scrittura dati motto lento (29,30 ms) 
Aquale velocità è possibile leggere dati dalla pendrive USB? 46% Unpo'lentainlettura 


Copia di grandi file 

Copia di file di medie dimensioni 

Copia di piccoli file 

Miglior tempo di accesso in fase di lettura dati 
Idoneità della pendrive per un utilizzo quotidiano? 
Dimensioni (Altezza x Larghezza x Spessore] in rapporto 
alla capienza / Peso 

Protezione dei contatti / Possibilità di fissaggio 
Usabilità / Qualità costruttiva (opinione personale del tester) 


Test di caduta 
Software in dotazione o accessori 
Malus 


RISULTATO DEL TEST 


Capienza utilizzabile: 256 GB 
Prezzo per GB: 12,89 centesimi 
Connettore: USB 3.1 Gen 1 Tipo A 


Lentissima in scrittura 
molto lenta (72 MB/6) 
molto lenta (56 MB/s) 
molto lenta (2 MB/s) 


un po' lenta (200 MB/6) 
un po' lenta (174 MB/6) 
lenta (20 MB/s) 

molto veloce (1,07 ms) 
Maneggevole e leggera 
un po' grande (5,77x2x1,1 cm)/ 
molto basso (8,32 g) 

si, con rientro contatti nel case /si 
protezione con slider, qualità 
costruttiva abbastanza buona 
superato 

nessuno 

nessuno 


SANDISK 
EXTREME PRO 


Prezzo: 89 Euro 
http://bît.ty/ 
sanextremep 


Capienza utilizzabile: 256 6B 
Prezzo per GB: 34,76 centesimi 
Connettore: USB 3.1 Gen 1 Tipo A 


La seconda più veloce del test 
molto veloce (305 MB/s) 

veloce (247 MB/s) 

un po' lenta (26 MB/s) 
veloce (0,32 ms) 

La più veloce del test 
molto veloce (368 MB/s) 
molto veloce (305 MB/6) 

veloce (35 MB/s] 

molto veloce (0,34 MB/5) 
Maneggevole e leggera 

grande (7,21 x 2,16x1,32 cm) / 
basso (17,66 g) 

si, con rientro contatti nel case / si 


protezione con slider, qualità 
costruttiva ottima 


superato 
Secure Access (per criptazione) 
nessuno 
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MEDIA RANGE 
USB 3.0 FLASH DRIVE 


Prezzo: 39 Euro 
http://bit.ly/mrangeftash 


Capienza utilizzabile: 256 GB 


Prezzo per GB: 15,23 centesimi 
Connettore: USB 3.1 Gen 1 Tipo A 


Lentissima in scrittura 
molto lenta (75 MB/s) 
molto lenta (59 MB/5) 
motto lenta (1 MB/6) 
molto lento (117,19 ms) 
Lenta in lettura 

lenta (151 MB/S) 

lenta (138 MB/s) 
lenta (19 MB/6) 
molto veloce (1,06 MB/s) 

Piccola, scarsa qualità costruttiva 
piccola (5,44 x1,9x0,91 cm) / molto 
basso (6,67 gl 

si, con rientro contatti nel case /si 

| protezione con slider, qualità 
costruttiva economica 

superato 

cappio 

nessuno 


[A 


Capienza utilizzabile: 256 GB 


TRANSCEND 
JET FLASH 780 


Prezzo: 162 Euro 
http://bit.ly/tjetflash 


Capienza utilizzabile: 256 GB 
Prezzo per GB: 63,28 centesimi 
Connettore: USB 3.1 Gen 1 Tipo A 


Lenta in scrittura 
lenta (141 MB/s) 
lenta (112 MB/s) 
lenta (16 MB/s) 
veloce (0,37 ms) 

Velocità di lettura elevata 
molto veloce (354 MB/s) 
molto veloce (301 MB/S) 


veloce (38 MB/5) 

molto veloce (0,22 ms) 

Qualità costruttiva economica 

un po' grande (7x 2,12x 0,81 cm) / 
molto basso (12,46 g) 

si, completa con cappuccio /si 


protezione con cappuccio, qualità 
costruttiva economica 


superato 
suite Transcend Elite 
nessuno 
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SANDISK 
ULTRA FIT 


Prezzo: 58 Euro 
http://bit.ty/sanultrafit 


Prezzo per GB: 21,87 centesimi 
Connettore: USB 3.1 Gen 1 Tipo A 


Lentissima in scrittura 
molto lenta (28 MB/S) 
molto lenta (16 MB/s) 
molto lenta (4 MB/s) 
molto lento (3,55 ms) 
Lenta in lettura 

lenta (123 MB/s) 
lenta (112 MB/s) 

un po' lenta (23 MB/s) 
molto veloce (1,26 ms) 
Formato molto compatto 

molto piccola (1,82 x 1,42x 0,82 cm) / 
molto basso (1,31 g) 
no, si 

manca protezione, qualità costruttiva 
ottima, molto compatta 

superato 

Secure Access (per criptazione) 
nessuno 
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PATRIOT 
SUPERSONIC 
RAGE2 


Prezzo: 44 Euro 
http://bit.ty/psupersonicr 


Capienza utilizzabile: 256 GB 
Prezzo per GB: 17,19 centesimi 
Connettore: USB 3.1 Gen 1 Tipo A 


Lenta in scrittura 
un po' lenta (183 MB/s) 
molto lenta (43 MB/s) 
molto lenta (3 MB/s) 
motto lento (1,70 ms) 
Velocità di lettura elevata 
molto veloce (342 MB/5) 
molto veloce (287 MB/s) 
veloce (35 MB/s) 
molto veloce (0,74 ms) 
Maneggevole e leggera 

piccola (5,25x2,11x1 cm) /molto 
basso (9,11 g) 

si, i contatti rientrano nel case /si 


protezione con slider senza scatto, 
qualità costruttiva ok 


superato 
nessuno 
nessuno 
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Capienza utilizzabile: 256 GB 
Prezzo per GB: 22,66 centesimi 
Connettore: USB 3.1 Gen 1 Tipo A 


EMTEC 
C410 COLOR MIX 


Prezzo: 58 Euro 
http://bit.ly/ec410 


Lentissima in scrittura 
molto lenta (8 MB/s) 
motto lenta (7 MB/s) 
molto lenta (2 MB/s) 
molto lento (43,40 ms) 
Lenta in lettura 

molto lenta (82 MB/5) 
lenta (80 MB/s) 
un po' lenta (29 MB/s) 
molto veloce (0,19 ms) 
Struttura un po' economica 

un po' grande (5,8x2,12x 1,04 cm) / 
molto basso (7,159) 

si, con cappuccio /si 

protezione con cappuccio, qualità 
costruttiva un po' economica 
superato 

nessuno 

nessuno 
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PATRIOT 
VIPER FANG GAMING 


Prezzo: 44 Euro 
http://bit.ly/pviperfg 


Capienza utilizzabile: 256 GB 
Prezzo per GB: 17,19 centesimi 
Connettore: USB 3.1 Gen 1 Tipo AA 


Lenta in scrittura 
un po' lenta (173 MB/s) 
molto lenta (66 MB/6) 
molto lenta (4 MB/5) 
molto lento (1,86 ms) 
Velocità di lettura elevata 
molto veloce (342 MB/s) 
molto veloce (286 MB/s) 
veloce (34 MB/s] 
molto veloce (0,70 ms) 
Maneggevole e leggera 

piccola (5,9 x 1,71 x.0,72 cm) / molto 
basso (8,55 g) 

si, completa con cappuccio /si 


protezione con cappuccio, qualità 
costruttiva abbastanza buona 


superato 
nessuno 
nessuno 


rr" 
“HUAWEI"METAL 
RING WATERPROOF* 


Prezzo: 13 Euro 
http://bit.ty/whumetal 


SAMSUNG 
FIT PLUS 


Prezzo: 59 Euro 
http://bit.ty/sfitplus 


Capienza utilizzabile: 256 GB 
Prezzo per GB: 26,25 centesimi 
Connettore: USB 3.1 Gen 1 Tipo A 


Lenta in scrittura 

un po' lenta (71 MB/s) 
un po' lenta (65 MB/s) 
un po' lenta (20 MB/s) 
molto veloce (0,20 ms) 
Velocità di lettura elevata 
veloce (249 MB/s) 

veloce (219 MB/s) 
veloce (36 MB/s) 
molto veloce (0,26 ms) 

Formato molto compatto 

molto piccola (2,36.x 1,87 x 0,73 cm) 


] molto basso (3,14 g) 

no/si 

manca protezione , qualità costrutti- 

va buona, molto compatta 

superato 

nessuno 

nessuno 

l) 

WISH 
2019 NEW LARGE 
CAPACITY 
Prezzo: 13 Euro 
http://bit.ly/wnewlarge 


Capienza utilizzabile: 16 GB 
Prezzo per GB: 81,25 centesimi 
Connettore: USB 2.0 Tipo A 


Lentissima in scrittura 
motto lenta (9 MB/s) 
molto lenta (7 MB/s) 
molto lenta (1 MB/S) 
molto lento (43,40 ms) 
Molto lenta in lettura 
molto lenta (24 MB/5) 
molto lenta (24 MB/s) 
lenta (14 MB/s) 
09 


Maneggevole e leggera 
grande (4,43 x 1,73 x 0,47 cm) / molto 
basso (5,67 g) 

no, si , 

manca protezione, qualità costruttiva 
ottima (materiale straordinario) 
superato 

nessuno 

falsa indicazione della capienza 


* Wish vende questa pendrive con il nome “Huawei”. A detta di Huawei si tratta di una falsificazione, poiché il produttore non vende pendrive. 
A parità di voto, il prezzo più basso (prezzo per Gigabyte) determina il miglior piazzamento. 


Capienza utilizzabile: 8 GB 
Prezzo per GB: 162,50 centesimi 
Connettore: USB 2.0 Tipo A 


Lentissima in scrittura 

molto lenta (10 MB/s) 

molto lenta (9 MB/s) 

motto lenta (1 MB/S) 

molto lento (43,40 ms) 

Molto lenta in lettura 

molto lenta (22 MB/5) 

molto lenta (22 MB/5) 

lenta (15 MB/8) 

molto veloce (0,35 ms) 
Maneggevole e leggera 

grande (3,88 x 1,23 x 0,47 cm) / molto 
basso (5,37 g) 

no/si 

manca protezione, qualità costruttiva 
ottima (materiale straordinario) 
superato 

nessuno 

falsa indicazione della capienza 


2000 
vos 
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{Cosyè/Amazon]FBA? 


2ACosalci[occorre?) 


N0u2tepradorta ento? 


1. Cos'è Amazon FBA? 


CERCHIAMO DI FAR LUCE SU QUESTO NUOVO MODO DI FAR BUSINESS CHE STA SPOPOLANDO ANCHE DA NOI IN ITALIA 


mazon FBA è la sigla di “Ful- 

illment by Amazon”, ovvero 
del servizio di gestione completa 
dei prodotti di un'azienda da 
parte di Amazon: stoccaggio, lo- 
gistica, spedizione, resi. Tutte 
quelle pratiche che generalmen- 
te competono al distributore/ 
azienda/fornitore di un prodotto 
vengono prese in carico diretta- 
mente dai dipendenti Amazon, i 
quali ricevono i plichi di merce, la 
inseriscono nei loro magazzini e 
provvedono ad una gestione 
completa. Amazon FBA, in so- 
stanza, permette non soltanto di 
mettere in vendita un prodotto 
sul più famoso marketplace al 
mondo, ma anche di doversi 
completamente dimenticare di 
qualsiasi aspetto legato all’orga- 
nizzazione e logistica (se non del 
rifornimento del. magazzino 
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Amazon). E nella maggior parte 
dei casi, questo si traduce anche 
in un enorme vantaggio in termi- 
ni economici grazie alle tariffe 
applicate dal servizio FBA. 

FBA si contrappone a FBM, ov- 
vero “Fulfillment by Merchant”, 
dove tutta la gestione del pro- 
dotto è direttamente a carico 
dell’azienda/produttore/fornito- 
re. Nell’FBM i processi di inven- 
tario, stoccaggio e spedizione 
sono nelle mani del venditore. 
Generalmente si tratta di una so- 
luzione più complessa e costosa 
rispetto ad FBA, ma in alcuni ca- 
si può rivelarsi vantaggiosa (so- 
prattutto quando trattiamo pic- 
coli pacchi, i quali hanno biso- 
gno di pochissimo spazio in ma- 
gazzino e le spese di spedizione 
sono contenute). Amazon FBA è 
un servizio che dal 2017 ha ini- 


di iam 


ale che mancava! 


6. Preparare etichette e codici a barre 


7. Come vendere il lprodotto? 


8. Inviare il prodotto” 


ziato a spopolare negli Stati Uniti 
e dall’Estate 2018 anche in Italia 
sono stati migliaia i nuovi utenti 
che hanno scoperto i vantaggi di 
questo Business Online, in cui 
non è assolutamente necessario 
avere a disposizione una linea 
produttiva: molti nuovi imprendi- 
tori di Amazon, infatti, hanno de- 
ciso di acquistare la merce diret- 
tamente da grande aziende 
estere (generalmente collocate 
in Cina), le quali, con ordini mini- 
mi di qualche centinaio di pezzi, 
personalizzano e brandizzano in 
tutti gli aspetti quanto desidera- 
to. Prodotti da riversare poi all’in- 
terno del circuito Amazon ed 
Amazon FBA. 

Il capitale ini- 
ziale per que- 
sta tipologia di 
Business Onli- 


vama 


ne è alla portata di chiunque e, 
non essendoci quantitativi mini- 
mi per inserire i prodotti sul mar- 
ketplace più famoso del mondo, 
questo ci permetterà di incre- 
mentare la quantità e tipologia di 
merce con il crescere del nostro 
fatturato ottenuto su Amazon. 
All’interno. di questo articolo 
scopriremo l’intero processo 
che ci porterà da una semplice 
analisi di mercato effettuata 
esclusivamente sul Web alla 
vendita di un prodotto di suc- 
cesso su Amazon con impresso 
il nostro logo! 


Zon 


n dl 7) 


2. Cosa ci occorre? 


TUTTO QUELLO DI CUI ABBIAMO BISOGNO È SUL WEB... 


BASTA SAPERE COSA CERCARE 


pm di iniziare con la vendita vera e pro- 
pria, ci sono una mezza dozzina di attività 
da svolgere. La prima tra tutte è quella di pre- 
parare tutti gli strumenti che ci saranno neces- 
sari durante il nostro percorso per mettere in 
vendita il primo prodotto. Alcuni degli stru- 
menti indicati sono disponibili gratuitamente 
in forma “freemium”, ovvero con una licenza 
che ci permettere di iniziare ad utilizzare il sof- 
tware, con una serie di funzioni limitate, prima 
dell'acquisto vero e proprio; il quale eliminerà 
i limiti imposti dalla versione gratuita. 


ANALISI DI MERCATO 

CON JUNGLESCOUT 

Sito Internet: http://bit.ly/analisijungle 

Il software che andremo ad utilizzare in asso- 

luto è JungleScout (abbreviato spesso e vo- 

lentieri con la dicitura JS). JungleScout è di- 

sponibile in due versioni: Web App e Chrome 

Extension.Jungle Scout Chrome Extension è 

© la versione più utilizzata tra le due per chi vuo- 
le iniziare con Amazon FBA. Si tratta, come il 
nome permette di intuire, di un'estensione per 
il browser Google Chrome, valida anche per la 
versione open source Chromium. Questo 
strumento ci permetterà di ottenere una serie 
di dati necessari a condurre le nostre indagini 

- di mercato per la ricerca del prodotto idea- 
le da mettere in vendita. La Web App, inve- 
ce, oltre a permettere la realizzazione di in- 
dagini di mercato, comprende tutta una serie 
di funzioni e filtri che permettono all’utente di 
individuare quali siano i prodotti più profittevo- 
li su Amazon. Si tratta, questa, di una versione 
molto più avanzata della precedente, che ri- 
chiede già una discreta conoscenza del fun- 
zionamento della Logistica Amazon. Per ini- 
ziare, la Chrome Extension è più che sufficien- 
te. Saremo inoltre in grado di effettuare un up- 
grade non appena ci sentiremo più esperti. 
Nelle pagine successive scopriremo come 
utilizzare nel dettaglio questo strumento. 


Registriamoci su JungleScout 

Per acquistare la Chrome Extension è neces- 
sario recarsi all'interno del sito ufficiale di Jun- 
gleScout (http://bit.ly/analisijungle) e preme- 
re sul bottone Get started presente nell’ho- 
mepage. A questo punto dovremo scegliere 
tra una versione Pro oppure Lite. Per iniziare, 
la seconda scelta è più che sufficiente. Ora 


Start selling on 
. |Amazon today 


sce 


dovremo creare un account inserendo i nostri 
dati personali, compresi quelli della carta di 
credito per procedere al pagamento di 97$ 
(quota annuale). Terminata questa operazione 
ci verrà chiesto di installare l'estensione di Go- 
ogle Chrome. Confermiamo l'operazione. Una 
volta completata l'installazione, si aprirà una 
pagina di login in automatico. Utilizziamo i da- 
ti di accesso scelti durante la fase di registra- 
zione per effettuare il login. Siamo pronti per 
utilizzare JungleScout: dopo aver effettuato 
una ricerca su Amazon, potremo premere sul 
bottone dell’estensione presente nella parte 
alta a destra di Google Chrome e ci verranno 


mostrate tutta una serie di informazioni che, 


andremo ad analizzare nel dettaglio più avan- 
ti. 


ANALISI DI MERCATO 

CON EGROW.I0 

Sito Internet: http://bit.ly/analisiegrow 
Egrow è uno strumento molto simile a Jungle- 
Scout. Anche quest’ultimo permette di effet- 
tuare delle analisi sui volumi di vendita su 
Amazon per determinati prodotti, ma rispetto 
a JS integra un sistema gratuito simile alla 
Web App di cui abbiamo parlato precedente- 
mente. Si tratta di uno strumento che andre- 
mo. ad utilizzare insieme a JungleScout per 
verificare la correttezza dei dati estratti. 
Anche in questo caso, vedremo nelle pagine 
successive come utilizzare correttamente 
questo strumento. 


Registriamoci su Egrow 


Si oene 0 BS 


sul bottone CHROME PLUGIN presente nel- 
la parte alta del sito Installiamo quindi l’esten- 
sione facendo click su Aggiungi a Chrome 
presente nella pagina che si aprirà. Una volta 
completata l'installazione, verrà visualizzata 
una pagina di login. Utilizziamo i dati di acces- 
so scelti durante la fase di registrazione per ef- 
fettuare il login. In questo caso, l'utilizzo è 
identico a quello visto per JungleScout: dopo 
aver effettuato una ricerca su Amazon, potre- 
mo premere sul bottone dell’estensione pre- 
sente nella parte alta a destra di Google Chro- 
me e ci verranno mostrate tutta una serie di in- 


Create Lifetime Free Account | 


im bei Sodi ve 00 ca pred 


È 
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formazioni che andremo ad analizzare nel det- 
taglio più avanti. 


FOGLIO DI CALCOLO? 
BASTA GOOGLE DOCS 


Un foglio di calcolo ci sarà utile per tenere 
traccia di tutte le analisi di mercato e dei pro- 
dotti su cui potremmo puntare all’interno di 
Amazon. Possiamo utilizzare software come 
LibreOffice o, più semplicemente, utilizzare la 
piattaforma Google Docs per mantenere tutti i 
dati salvati all’interno di uno spazio Cloud e 
controllarli più facilmente anche con lo smart- 
phoone. Quanto vende quel prodotto? Keepa 
lo sa Keepa è un'estensione gratuita di Goo- 
gle Chrome in grado di fornirci il costo ed il vo- 
lume di vendite di un determinato prodotto su 
Amazon nell’arco del tempo. Questo stru- 
mento ci sarà utile per capire se vi sono gros- 
si sbalzi di prezzo durante l’anno e se le ordi- 
nazioni sono costanti nel tempo. 


Installiamo l'estensione Keepa 

Per installare Keepa sarà necessario accede- 
re, utilizzando esclusivamente il browser Goo- 
gle Chrome, alla pagina dello store che trovia- 
mo su https://chrome.google.com/websto- 


L'installazione di Egrow è simile a quella vista  \ re/. Fatto ciò, digitiamo Keepa nel campo di 


per JungleScout, ma in questo caso non sarà 
necessario effettuare alcun acquisto. 
Rechiamoci quindi sul sito ufficiale (http:/bit. 
ly/analisiegrow) e procediamo alla registrazio- 
ne facendo click sul bottone SIGN UP FREE 
presente in homepage. Compiliamo il modulo 
di registrazione con i dati richiesti. 

Una volta terminata questa fase, premiamo 


ricerca e premiamo sul bottone Aggiungi per 
installare questo strumento. Ogni volta che ci 
\ recheremo all’interno di un prodotto Amazon, 
prima della descrizione, ci apparirà un grafico 
ìn cui sarà riportata l'oscillazione del prezzo 
negli ultimi 3 mesi ed il relativo volume di ven- 
dite. Utilizzeremo questi due dati per la nostra 
indagine di mercato nelle fasi successive. 
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3. Quale prodotto vendo? 


SCOPRIAMO QUALI SONO | CRITERI DI SCELTA DI UN PRODOTTO E COME INDIVIDUARE QUELLO GIUSTO 


concorrenza. 
* Prodotti con batterie. Questo poiché le bat- 
ferie devono essere imballate in un modo parti- 
colare per motivi di sicurezza e questo fa sì che 
i costi di spedizione siano molto alti, oltre che 
rischiare un blocco del prodotto alla dogana 
per motivi di sicurezza. 

- ® Il prodotto non deve essere bratizio oil 
suo marchio non deve essere registrato. 
® Il prodotto non rientra nelle categorie in 

‘ cui è necessaria una certificazione CE. Que- 
sto infatti, soprattutto alle nostre prime espe- 
rienze, rischierebbe di rallentare drasticamente 
la messa online dei nostri prodotti. Le certifica- 
zioni, infatti, richiedono spesso dei rigidi pas- 
saggi e verifiche da parte nostra. 

Potremo trovare un elenco completo dei pro- 
‘dotti in cui è richiesto il marchio CE nel sito di 
qualsiasi Camera di Commercio. 


i \ 

FINI * . . \ 

A rriviamo adesso al primo dei tanti step ne- \ 
ssari per iniziare a vendere su Amazon. 


Si tratta probabilmente del passaggio più com- 
plesso, in quanto da questo dipenderà la no- 
stra riuscita in questo business. 
Stiamo infatti parlando della ricerca del prodot- 
to ideale da vendere, il quale implica una serie 
di ricerche, che spesso possono durare anche 
settimane, ed indagini di mercato non indiffe- 
renti, per quanto possano sembrare semplici e 
‘ veloci. Trovare il prodotto più adatto e profitte- 
vole significa infatti capire la richiesta del mer- 
cato, calcolare i costi, i margini di guadagno e 
la concorrenza. Significa anche saper guardare 
alla futura richiesta dei consumatori, cosa che 
nessun programma sarà mai in grado di dirci, 
ma sul quale potrà aiutarci esclusivamente. .il 
nostro intuito e la nostra esperienza. Per aiutar- 
ci, in'ogni caso, Ppestime gog delle linee 


“prodotto dovrebbe essere piosolo e Ieg- I TOOL CI AIUTANO 
gero. Questo ci permetterà di abbattere note= >. NELLA SCELTA 


volmente i costi di spedizione, .i quali sono un... Viste adesso le linee guida principali da tenere 
> aspetto fondamentale da tenere sotto control- a mente ancor.prima di effettuare la ricerca di 
‘lo, essendo tra gli elementi che più inficiano il ‘un prodotto, passiamo adesso a quelli che de- 
— margine di guadagno. “———vono essere i valori di riferimento estratti da 
cell tto non do' avere varianti. 
Soprattutto alle nostre prime esperienze, utiliz- 
‘zare prodotti con varianti (colori o taglie, per 
esempio) renderebbe complicata la gestione 
del magazzino ed aumenterebbe notevolmen- 
tei costi necessari per l'acquisto di un quanti- 
tativo minimo, il quale dovrebbe essere rispet- 
tato per ogni singola variante. 
* li prodotto non dovrebbe essere stagiona- 
le. Questo rischierebbe di creare problemi di 
-— magazzino nel momento in cui il prodotto non 
è richiesto (es. se abbiamo intenzione di ven- 
dere alberi di Natale, rischieremmo di dover 
pagare lo spazio occupato in magazzino du- 
rante il periodo estivo in cui, generalmente, le 1? ee 
» vendite. di questo prodotto sono pressoché 1170 
“nulle. —* Posta ct Mame grana 
*_ Prodotti consumabili. Questa tipologia ci È RR cava 
garantirà un flusso costante di ri-acquisti da 
- parte di acquirenti che abbiamo fidelizzato. 
* Prodotti senza concorrenza di Amazon 
Basic. Amazon produce tutta una serie di pro-.. 
| dotti altamente richiesti a basso costo (cavi 
USB, prodotti comuni di elettronica, borse per 
PG; ecc...) Cercare di. concorrere con questi 
prodotti è molto difficile, in quanto sono gene- 
ralmente posizionati ai primi posti rispetto alla: 


utilizzare come indicatori positivi... | 
4 | primi 10 prodotti su ‘JungleScout: devono 
avere meno di 70 recensioni l'uno. Questo poi- 
ché l’algoritmo di posizionamento di un ‘pro-. 
dotto su Amazon si basa, trai vari fattori, anche 
sul numero di recensioni. Più sono le recensio- 
ni della concorrenza e più difficile sarà posizio- 
“nare il nostro prodotto. 


avere un flusso di vendite di almeno 150 pezzi/ 
mese. Questo:ci garantirà la richiesta di merca- 


Cave Micro 182,Gritini PazzbimASm2.. Gio 
Rampom: RAMPOWMICOI, Cavo Micro U. 

Caso Micro USE Carica Rapida Rampom...  Ramgor 
AUKEY Cavo Micro USB { 5 Pezzi 2ra x 1 

Cavo Micro USA, Gritinf2 Pezziim1.5n1,2 
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{2 Paci Duractron Cavo Micro S8 204. 
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JungleScaut, Egrow.io e Keepa che possiamo |. 


4 | primi 10 prodotti su ngn devono 


13 Logipuntioni 
€198 pg 


to per quel determinato prodotto. 

* Il prezzo di vendita su Amazon, analizzato 
| mediante Keepa, deve essere costante nel . 
tempo. Questo ci garantirà che il flusso di ven- 
dite non è determinato da repentini abbassa- 
menti di prezzo, spesso causati da giacenze di 
magazzino rimaste invendute. 
Artivati a questo punto e prima di procedere a 


- vedere quali siano i metodi principali per effet- 


tuare l’analisi di mercato che ci condurrà a tro- 
vare il prodotto ideale da vendere, è necessario 


‘ capire il significato dei valori estratti da parte 


dei software che abbiamo visto in precedenza. 


Junglescout ti dice che... 
Partiamo da quello che è lo strumento che più 
utilizzeremo durante le analisi di mercato. Co- 
me già accennato, JungleScout permette di 
capire principalmente i volumi di. vendita di una 
pagina dei risultati di Amazon. 
In questo nostro esempio, abbiamo cercato su 
Amazon Italia la parola chiave “cavo USB” e 
questi sono i risultati estratti da JungleScout. 
Partendo dalla parte superiore dell'estensione 
di Google Chrome abbiamo: 

1. Average Monthly Sale. Questa è la media 
di.vendite di ogni singolo prodotto. presente 
dei analizzata. Ù 


‘ dotto con punteggio di vendita 1 èi prodotto 
| aftualmente più acquistat ; Si 
‘3. Average price. Si tratta del. przo n medio : 
dei prodotti della pagina. oe >: 
4. Average Reviews. Si tratta del. numero me- 
dio di recensioni dei prodotti. 
Spostandoci adesso nella parte centrale, ‘ab- 
biamo, oltre al nome del prodotto, delnome del 


pesa 


Mo. Sales | D I 


ida ik. Indica quanto il pro- — 
gra a pi Un pro- 


venditore, del prezzo e della categoria, le se- 
guenti informazioni per noi fondamentali: 
5.Mo. sales. ll numero di vendite mensili spe- 
cifiche perl. prodotto riportato nella riga. 

6.D. sales. Numero di vendite giornaliere del 
prodotto preso in considerazione nella riga di 
riferimento. 

7. Revenue. Fatturato del singolo prodotto ri- 


. portato nella riga.di riferimento. 


8. Reviews. Il numero di recensioni per il pro- 
dotto. E 

9. Rating. Il punteggio delle recensioni, che va 
da un minimo di 1 ad un massimo di 5. 

Adesso che abbiamo capito quali siano i valori 
su cui basare le nostre scelte durante la ricerca 
del'prodotto ideale, passiamo nel vivo dell'ope- 
razione. In questo articolo analizzeremo le due 
tecniche più efficaci per effettuare delle in- 
dagini di mercato infallibili. 

Entrambi i metodi si basano sull’utilizzo, anche 
se in modo differente, del portale Alibaba. 
com... 


Cos'è Alibaba 
Alibaba è un portale cinese in cui sono iscritte 
migliaia di aziende orientali ed è un sito studia- 


‘ to appositamente per il commercio B2B (Busi- 


| permetterà di effettuare ordini massicci e di en-. 
e trare in diretto contatto con il istat commer- 
o | ciale de dell'azienda i) noi scelta. ; 


| METODO DI RICERCA N.1. 


ness to Business), il cui scopo è quello di met- 
tere in contatto le fabbriche con gli imprenditori 
che intendono: far realizzare o personalizzare 
un determinato prodotto da acquistare in gran- 


di quantità. Al contrario di Aliexpress.com, in- 
° fatti, piattaforma che; andremo ad utilizzare ci. 


- DA AMAZON AD ALIBABA 


Il primo metodo di ricerca è quello da cui do- 
vremo partire se abbiamo già in mente quale 
prodotto siamo intenzionati a vendere. Si 
tratta infatti di ricercare l'oggetto da noi deside- 
rato su Amazon, di effettuare un’analisi di mer- 
cato come abbiamo visto nei passaggi prece- 


ie enti.e. successivamente. di. verificare..i.margini 


di guadagno (vedremo più avanti come fare). . 


. Itprimometodoin pratica... — 
‘’Rechiamoci quindi suAmiazonit e Eee il 


prodotto Che vogliamo iniziare a vendere. Nel 
nostro esempio! zzeremo. Cavo USB. 
Una volta ottenuti î risultati della ricerca, lancia- 
mo JungleScout come visto in precedenza e 
riportiamo i valori che ci interessano nel foglio 
di calcolo creato su Google Docs. i 


Per essere sicuri dei dati estratti, effettuiamo 


anche un controllo con Egrow.io. | dati do- 
vrebbero essere i medesimi. Se così non fosse, 


edi dati fossero molto differenti tra di loro, pro- . 


babilmente i software non. sono in grado di 
‘analizzare il prodotto da noi individuato. Fortu- 
natamente, questa situazione si presenta diffi- 
cilmente. 


A questo punto, andiamo su Alibaba.com e 


facciamo la stessa ricerca. Rispetto ad Ama- 
zon, qui dovremmo effettuare le ricerche in lin- 
gua inglese. Nel nostro caso, quindi, utilizzere- 
mo la parola chiave USB Cable. Cerchiamo 
adesso il prodotto che più si avvicina a ciò che 
vogliamo vendere e successivamente faccia- 
mo click sopra per aprire la scheda descrittiva 
completa. Se l'oggetto ci convince, è arrivato il 
momento di contattare la fabbrica per avere in- 


formazioni sui costi e sul quantitativo minimo 
ordinabile (generalmente le aziende non spedi- 


scono meno di 50-100 pezzi, ma ciò dipende 


da quello che stiamo acquistando). 


Per fare ciò, dalla pagina del prodotto, premia- 


mo sul bottone arancione con la dicitura Con- 


| tact Supplier. Si aprirà un sistema di messag- 
|gistica in cui dovremo specificare, oltre al no- 
‘stro nome ed indirizzo email, il numero di pezzi 
“che vogliamo ordinate ed un messaggio di pre- 


sentazione. L'ideale è specificare di voler ac- 
quistare un blocco di 100 pezzi e di richiedere 
tutte le informazioni di base necessarie ad im- 
portare un prodotto. 


“Attenzione: ricordati di contattare l’azien- 
da scrivendo esclusi ini si 


Qui di seguito ti riportiamo un messaggio stan- 
dard da poter utilizzare per la prima comunica- 
zione, con il quale saremo in grado di capire fin 
da subito le condizioni di vendita ed i costi da 
sostenere: 

Hi, my name is [tuo nome], l am interested in your 
product and would like to ask few questions: 

® What is the minimum quantity for an order? 

e Do you send samples to Italy and what is the 
production time and the shipping time? 

® What would be the price for [numero di pezzi che 
vuoi ordinare] units and the price of shipping them to 
italy? 

* Do you offer DHL shipping that has all the custom 


duty fees included in the price of the shipment? 


Best regards, 
[il tuo nome]. 


Grazie a questo messaggio di presentazione, 
saremo e in grado di capire fin da subito: 

1. Qual è la quantità minima ordinabile. 

2. Venire a conoscenza se l'azienda spedisce 
un' campione gratuito di test per verificare la 
qualità del prodotto e quali sono le tempistiche 
di spedizione. 

3. Conoscere il prezzo per la spedizione in Ita- 
lia. 

4. Venire a conoscenza se la fabbrica mette a 
disposizione il servizio DHL che comprende, 
già all’interno delle spese di spedizione, anche 
i costi di dogana ed IVA. Una volta inviato il 
messaggio non dovremo far altro che attende- 
reuna risposta da parte del responsabile com- 


| merciale dell'azienda e procedere secondo gli 


accordi presi. È impossibile in questa guida da- 


‘re ulteriori indicazioni in merito, in quanto ogni 


rapporto commerciale sarà differente. 


METODO DI RICERCA N.2. 
DA ALIBABA AD AMAZON 


Il secondo metodo è molto simile al primo, ma 
in questo caso si opera all’inverso. 


Ilsecondo metodo in pratica... 

Partiamo da Alibaba.com ed iniziamo a navi- 
gare tra le diverse categorie di prodotto. Una 
volta trovato un oggetto che riteniamo interes- 
sante, cefchiamolo su Amazon e capiamo se il 
costo medio applicato dai venditori può essere 
di nostro interesse. Più avanti vedremo meglio 
la gestione dei costi. Fatto ciò, analizziamo il 
mercato come visto in precedenza, riportiamo i 
dati estratti sul foglio di calcolo e se la nostra 
analisi rispetta i criteri visti ad inizio del capitolo 
Quale prodotto scelgo?, possiamo procede- 
re contattando la fabbrica come fatto in prece- 
denza. 


“Attenzione: la ricerca di 
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4. Costi, ricavi e prezzo finale di un prodotto 


INDIVIDUATO IL GADGET, A QUANTO DOVREMMO METTERLO IN VENDITA? SCOPRIAMOLO INSIEME 


So qui arrivati ad una delle parti più importanti di tutto il tuto- 
rial: la scelta del prezzo finale del prodotto, il quale andrà ov- 
viamente ad incidere non soltanto sul nostro margine, ma anche 
sulla stessa possibilità di vendita del prodotto. Un prezzo troppo 
alto, infatti, potrebbe scoraggiare i potenziali acquirenti, ma al 
contempo, un costo troppo basso potrebbe anche far pensare ad 
un prodotto di bassa qualità. Per capire quale dovrà essere il costo 
finale del nostro oggetto messo in vendita, rechiamoci su Amazon 
FBA Calculator: . Si tratta di 
uno strumento ufficiale di Amazon in grado di calcolare con estre- 


amazonservices 


ma precisione quale sarà il costo di stoccaggio, spedizione e delle 
varie somme trattenute da Amazon sulla base del prodotto che in- 
tendiamo vendere. 

Per fare ciò, rechiamoci su 


e nel box di ricerca, in- 
seriamo il prodotto che inten- 
diamo vendere. Si aprirà una 
finestra nella quale scegliere 
un oggetto quanto più simile a 
quello da noi in vendita. Sele- 
zioniamolo ed attendiamo che 
Amazon effettui le proprie ope- 
razioni 


dI 
pemato il momento di iscriver- 
si al servizio venditori di Ama 
zon. Devi sapere fin da subito 


Quello che adesso dovremmo andare a fare è compilare la tabella 
della colonna Gestito da logistica di Amazon. Le voci'da compi- 
lare sono tre: 
1. Prezzo articolo: la cifra a cui intendiamo vendere il nosima pro- 
SE su Amazon. 

2. Spedizione ad Amazon: le spese di.spedizione dhe sce feno 
sostenere per spedire il pacco al magazzino di Amazon. — 
3. Costo del prodotto: la spesa da noi sostenuta (per singola uni- 
tà) per l'acquisto del prodotto. 


Una volta compilati i campi richiesti, premiamo sul bottone Calco- 
la e verrà generata automaticamente una tabella riportante il 
nostro guadagno netto. Semplice, no? 

Come capire, a questo punto, quale sia il costo da applicare? Si- 
curamente la scelta migliore è quella di fare un po’ di prove modi- 
ficando la voce Prezzo articolo, fino a quando il guadagno netto 
non rispetta le nostre aspettative. Generalmente, per poter essere 
certi di avere un buon guadagno senza intaccare le vendite, do- 
vremmo raggiungere il giusto compromesso ottenendo un guada- 
gno netto di circa il 30% su ogni articolo venduto. 


duto cui va aggiunta una percentuale di 
commissione di vendita in base alla cate- 
goria scelta per il prodotto 


che esistono due categorie di 
venditori: 


(o individuale) ha un limite 
di vendita di 40 articoli al mese e 
commissioni direttamente legate 
ai volumi: 0,99 € ad articolo ven- 
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è possibile 
vendere illimitati prodotti con una quota 
mensile di 39€+IVA. Verrà inoltre aggiun 
to. come per il venditore base, una pet 
centuale di commissione che varia 
dall'8% al 20% in base alla categoria in 
cui il prodotto è stato inserito. 


Oesro: Bite Sea EN 6 ISLES 


-6. Preparare etichette e codici a barre 


se ALTRI PICCOLI DETTAGLI VANNO SISTEMATI PRIMA DI PROCEDERE CON LE VENDITE VERE E PROPRIE 


rima di spedire i prodotti al 

magazzino di Amazon è ne- 
cessario ottenere il codice UPC 
(chiamato anche EAN, in Euro- 
pa). Il codice UPC serve ad 
identificare una determinata 
fabbrica e prodotto all’interno 
del mercato ed è un requisito 
necessario per poter commer- 
ciare su Amazon. Oltre al codi- 
ce UPC è necessario anche ot- 
tenere, mediante il Seller Cen- 
tral, il codice ad utilizzo interno di Amazon, chiamato FNSKU. 
Quest'ultimo codice permetterà di identificare il prodotto all’interno 
dei magazzini e dovrà essere applicato dalla fabbrica su ogni singo- 
lo prodotto prima della spedizione. Vedremo più avanti nel dettaglio 
questo passaggio. 


IL NOSTRO PRIMO CODICE UPC... 


Per ottenere un singolo codice UPC, possiamo utilizzare il servizio 
SingleUPC puntanto il browser su http://bit.ly/singleupc. 

Una volta entrati nella homepage di SingleUPC, facciamo click sul 
bottone Single UPC & Digital Barcode file, come mostrato nell’im- 
magine di seguito: 

A questo punto, nella finestra successiva, selezioniamo la quantità di 
codici UPC da acquistare. Avremo bisogno di un singolo codice per 
tipologia di prodotto venduto. Continuando con il nostro esempio, se 
decidiamo di vendere cavi USB, avremo bisogno di un solo codice 
UPC, qualsiasi sia il nostro ordine. Il codice UPC inoltre rimarrà inva- 
riato nel tempo per quel determinato prodotto. 

Avremo bisogno di un. nuovo codice UPC nel momento in cui decide- 
remo di mettere in vendita un secondo prodotto o di rinnovare com- 
pletamente quello che stiamo già vendendo. 


“Attenzione: per operare su Amazon è 
necessario disporre di partita IVA. 
Rivolgiti al tuo commercialista per gli 
aspetti fiscali.” 


Per iniziare, un account base andrà benissimo. 
Tieni a portata di mano i seguenti documenti, i 
quali possono esserti richiesti in qualsiasi mo- 
mento durante la registrazione o da parte del 
supporto tecnico: 


Il documento di identità 

di chi sta aprendo l’account 
Numero di partita IVA 
Visura camerale 

Indirizzo della sede legale 


![ff Single UPC & 2% i 
Digital Barcode File 


* SingleUPC without barcode $10., 


Vantaggi dei venditori Amazon 


> Single UPC plus 
1,000 Printed Labels 


* Price.of Singie UPEC &'1,000 : 


Possiamo inoltre scegliere se acquistare: 

e UPC Assignment: è la soluzione ideale per chi vuole iniziare con 
Amazon FBA. Verrà consegnato esclusivamente un codice UPC al 
costo di 10$. 

Single UPC and Digital Barcode: oltre al codice UPC verrà conse- 
gnato anche un barcode digitale da utilizzare al costo di 23$. Per la 
vendita su Amazon, il Digital Barcode non è richiesto. 

Selezioniamo quindi la voce Add to cart dalla tabella UPC Assigne- 
ment e terminiamo l’acquisto inserendo i dati personali richiesti. Nel 
giro di pochi minuti ci verrà consegnato il codice per email. 


««x E IL CODICE FNSKU 


Nel momento in cui andremo a creare la scheda prodotto su Amazon, 
ci verrà richiesto da una parte il codice UPC dell'oggetto e dall'altra, 
ci verrà comunicato un codice denominato FNSKU. Quest'ultimo 
dovrà essere comunicato alla fabbrica prima dell’ordine, in quanto è 
fondamentale che venga applicato su ogni singolo prodotto. Se ciò 
non dovesse essere fatto, infatti, Amazon non sarà in grado di capire 
da chi proviene la spedizione e non potranno organizzare di conse- 
guenza il magazzino e tutti i servizi logistici che si trovano dietro la 
vendita di un prodotto. 


IBAN 
Carta di credito 
(le carte prepagate non sono accettate) 


Adesso che hai tutto pronto, recati nella pagi- 
na di registrazione Seller Central (http://bit. 
ly/sellercentralamazon) e premi sul bottone 
Registrati ora. 


PEEtT, 


“Attenzione: si consiglia 

di utilizzare Firefox durante l’utilizzo 
della piattaforma Seller Central. 
Altri browser non sono in grado di 
caricare correttamente alcuni 
elementi.” 
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7. Come vendere il prodotto? 


SCOPRIAMO INSIEME LA PROCEDURA IN DETTAGLIO... NON È POI COSÌ DIFFICILE! 


SOS arrivati al clou della nostra 
esperienza con Amazon FBA. È arri- 
vato infatti il momento di mettere in ven- 
dita il prodotto che con cura abbiamo 
selezionato, acquistato ed importato. 
Come prima cosa, accediamo al pannel- 
lo di Amazon Seller Central 

e nella parte 
alta della pagina selezioniamo Catalogo 
e dopodichè “ E 
Da qui partirà la procedura per aggiun- 


gere il nostro prodotto al catalogo Ama- 
zon. Come prima cosa dovremo selezio- 
nare la categoria di riferimento e le even- 
tuali sottocategorie. 

Selezioniamo con cura questo aspetto, 
in quanto Amazon calcolerà le proprie 
“tasse” in base alla categoria di riferi- 
mento. Questo valore è inoltre fonda- 
mentale per evitare di entrare in concor- 
renza con prodotti simili, ma che appar- 


tengono ad una categoria differente. 
Una volta terminata l'operazione, pre- 
miamo sul tasto Seleziona. 
\ 
UNA SCHEDA PER IL 
NOSTRO PRODOTTO 


Nella nuova finestra passiamo alla rea- 
lizzazione della scheda prodotto vera 
e propria. Nella prima pagina sarà ne- 
cessario inserire le informazioni base 
‘ dell'oggetto che intendiamo vendere, tra 
cui, al primo posto, il codice EAN/UPC 
precedentemente acquistato. 
Scegliamo poi un titolo, la marca del pro- 
dotto, il nome del produttore ed.il codice 
dell'articolo. Questi ultimi quattro valori 
possono essere inventati a proprio piaci- 
mento, ma è buona norma che rispettino 
effettivamente la realtà, soprattutto nel 
momento in cui avremo in vendita decine 
di prodotti con decine di acquisti giorna- 
lieri. 


Nella parte alta della scheda ‘prodotto 


dovremo configurare diverse voci: le In- 
formazioni essenziali, che abbiamo ap- 
pena visto, le Varianti, nel caso in cui il 
prodotto presenti alcuni valori persona- 
lizzabili (per esempio, la taglia dei vestiti), 
Offerta, ovvero il costo di vendita del 
prodotto ed infine Immagini, la scheda 
in cui dovremmo caricare le foto dell’og- 
getto. 


Soffermandoci un momento'su quest’ul- 
tima voce, ricordiamoci che: 

e.| prodotti devono occupare almeno 
l'85% dell'immagine. Le immagini de- 
vono mostrare solamente il prodotto in 
vendita con nessun logo o filigrana. 

e Le immagini devono contenere uno 
sfondo completamente bianco. 

4 La dimensione delle immagini deve es- 
sere almeno di 1.000 pixel sul lato più 
lungo. 

e li formato delle immagini deve essere 
JPEG, TIFF oppure GIF. 


Una volta compilata la scheda, avremo il 
nostro primo prodotto in vendita su 
Amazon! Così facendo, però, stiamo la- 
vorando con la modalità FBM. In que- 
sto momento, quindi, dovremo essere 
noi ad occuparci di tutta la gestione del 
prodotto, cosa che invece vogliamo evi- 
tare. 
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8. Inviare il prodotto al magazzino Amazon 


OVVERO COME PASSARE SENZA INTOPPI DA FBM A FMA 


i De ora passare alla configu- 
razione Amazon FBA e per farlo, 
premiamo sul tasto. Inventario. posto 
nella parte alta del nostro Seller Central 
e dopodiché facciamo click sulla voce 
Gestisci il tuo inventario nel menù a 
‘ bandierina che si aprirà. 
Così facendo avremo una visualizzazio- 
ne di tutti i prodotti presenti all’interno di 
Amazon. 
“Da qui adesso dobbiamo andare a sele- 
zionare il prodotto che vogliamo invia- 
re ad Amazon. O per essere più precisi: 
qui inizieremo la procedura che ci per- 
metterà di spedire il lotto di prodotti dalla 


fabbrica con cui siamo entrati in contatto 
direttamente ai magazzini di Amazon. 

Per farlo, selezioniamo il menù a bandie- 
rina corrispondente al prodotto che in- 
tendiamo. trasformare. nella. formula 
Amazon FBA e facciamo click su Con- 
verti in gestito da Amazon. Come pri- 
ma cosa, ci verrà chiesto di configurare 
l'indirizzo Mittente, ovvero l’indirizzo dal 
quale partirà la spedizione. Compiliamo 


il modulo come richiesto, facendo atten- 
zione ai dati inseriti. 
A questo punto inizieremo la procedura 


. guidata che ci porterà ad avvisare Ama- 


zon dell'imminente arrivo del pacco. È 
sempre in questa fase che ci verrà co- 
municato il codice FNSKU, il quale do- 
vrà essere stampato su ogni singolo pro- 
dotto da parte della fabbrica da cui ab- 
biamo acquistato il lotto di prodotti. Si 
tratta di un passaggio fondamentale, in 
quanto, senza questo codice, Amazon 
non sarà in grado di organizzare i nostri 
oggetti all’interno del magazzino. 


Gestisci il tuo inventario 


9. Il trucco per vendere di più 


CREARE PRODOTTI BUNDLE PUÒ FARTI AUMENTARE LE VENDITE 


Ne: #8: &S 
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Rust a differenziare il proprio prodotto rispetto alla concor- 
renza non è sempre semplice. La cosa che tutti cercano di fa- 
re è quella di abbassare quanto più possibile il prezzo, così da 
spiccare tra la concorrenza. Non sempre però questa è la scelta 
più intelligente da fare: da un lato, infatti, si riduce drasticamente 
il margine di guadagno, ma dall’altra parte si rischia di dare una 
sensazione di scarsa qualità del prodotto. L'alternativa che ha 
preso piede su Amazon è quella di realizzare dei “bundle”, ovve- 
ro dei pacchetti di prodotti che possono essere utili tra di lo- 
ro. Un esempio? Invece che vendere un semplice cavetto USB, 
potremmo vendere un piccolo astuccio contenente i cavetti USB 
maggiormente utilizzati. Così facendo, non sarà necessario ab- 


bassare i margini di guadagno, anzi, potremmo tenere un costo 
del prodotto elevato colpendo una clientela differente. 

Per realizzare un prodotto bundle è necessario discutere di tale 
scelta con la fabbrica con cui si è in contatto. Generalmente è 
sufficiente, dopo il primo contatto che abbiamo visto in prece- 
denza, specificare che si intende costruire un bundle pack, spe- 
cificando da che tipologia di prodotti deve essere composto il no- 
stro pacchetto. 

L’unica nota negativa è che, essendo un prodotto mediamente 
personalizzato, le fabbriche tendono ad alzare il numero minimo 
ordinabile, anche in ragione del fatto che sarà necessario realiz- 
zare una confezione ad-hoc per il nostro bundle. 
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vi Tips & Tricks 


E Trucchi e consigli per usare subito GNU/Linux come un vero esperto. 
Scoprire le strategie e gli strumenti giusti per trovare una soluzione rapida 
a tutti i problemi e sfruttare appieno le potenzialità del sistema e delle applicazioni 
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FIRMARE | DOCUMENTI 


DI Per proteggere un documento 
I oltre a una password di apertu- 
ra/accesso è possibile utilizzare altri 
due metodi: l’uso di certificati digitali 
che si appoggino a CA (Certification 
Authority) per la loro verifica o la cifra- 
tura/firma digitale tramite l’uso di chiavi 
GPG (GNU Privacy Guard). Possiamo 
pensare di fare “tutto in casa” utilizzan- 
do GPG: naturalmente con una tale 
scelta si dovrà rinunciare ad un’autorità 
terza che assicuri sulla originalità del 
documento. Come operare? Assicuria- 
moci di aver installato il pacchetto 
GnuPG (https:/wmww.gnupg.0rg) quindi 
generiamo le chiavi utilizzando gpg 
--full-generate-key. Verremo guidati 


* passo passo nella scelta dell’algorit- 


mo, dimensione della chiave e scaden- 
za, aggiunta del nome e indirizzo con 
annesso commento e infine l’immis- 
sione di una passphrase, una frase 
sufficientemente lunga, facile da ricor- 
dare e da scrivere - da non dimentica- 
re! - contenente lettere, numeri e carat- 
teri, ad esempio La mia passphrase 
è mok0 s1cura!. In caso di dubbi pos- 
siamo sempre scegliere le opzioni di 
default suggeriteci dallo stesso 
GnuPG. Terminata la procedura verifi- 
chiamo che le chiavi siano state gene- 
rate con gpg --list-keys. Per firmare il 
nostro documento LibreOffice possia- 
mo operare da shell con gpg --sign / 
percorso/nome_documento.odt. 
Verremo invitati a riportare la passphra- 
se e solo dopo avremo il documento 
firmato: per verificare la firma utilizzata 
- qualora ne avessimo generata più di 
una — impartiremo gpg --verify nome_ 
documento.odt.gpg. Se ora provassi- 
mo ad aprire il documento odt.gpg con 


LibreOffice noteremo solo una se- 
quenza di strani caratteri, praticamente 
illeggibile. A questo punto possiamo 
inviarlo al destinatario il quale lo deci- 
frerà utilizzando gpg --output nome_ 
documento.odt --decrypt nome_do- 
cumento.odg.gpg senza necessità di 
inserire alcuna passphrase. Chi impe- 
disce a chiunque di generare un file e di 
inviarlo con informazioni fasulle al de- 
stinatario? Nessuno! Tuttavia possia- 
mo sempre creare una chiave a sca- 
denza giornaliera inserendo ogni volta 
un diverso commento. Sarà così suffi- 
ciente inviare il documento al destina- 
tario e farsi dire il commento presente 
nella chiave all’atto della decriptazione 
per confermare che è originale. Un se- 
condo metodo per firmare i documenti 
in LibreOffice vede l’utilizzo della voce 
presente nel menù File in Firme digi- 
tali optando per l'omonima voce. 
Aprendo il documento firmato una bar- 
ra ci avviserà dell’uso di una firma digi- 


tale: non sarà possibile apportare più 
modifiche nemmeno da parte del pro- 
prietario. 


RICERCHE 
PER TUTTI | GUSTI 


ez, Un'operazione molto comune 
BICE > 


è la ricerca di file nel filesystem. 
Diversi sono i comandi da shell che è 
possibile impartire e che permettono 
di effettuare dalle semplici alle più 
complesse tipologie di ricerca. Oltre a 
which (man which) e whereis (man 
whereis) ricordiamo locate (man lo- 
cate), molto veloce nelle ricerche poi- 
ché non legge nel filesystem bensì in 
un database che conterrà tutti i file 
presenti nel filesystem nel momento in 
cui è stato creato tramite il comando 
updatedb (man updatedb). | limiti di 
tale modalità sono essenzialmente 
due: è possibile la ricerca solo per 
nome e solo nei file presenti nel data- 
base, che andrebbe aggiornato prima 
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> Pushing Hail Effect Technology to New Limits.pdf 


I Fig. 1 Ricerca per data di modifica con scelta personalizzata 


di ogni ricerca. Un comando che inve- 
ce esegue la ricerca sul filesystem è 
find (man find) con il quale è possibile 
fare ricerche per nome, tempo di ac- 
cesso e modifica, permessi, livello di 
cartelle innestate ecc. Tale comando 
presenta quanto meno tre problemati- 
che: tempi di ricerca lunghi, notevole 
attività disco e una curva di apprendi- 
mento ripida. Coloro i quali non hanno 
alcuna pretesa di imparare comandi 
da shell possono rivolgersi a delle GUI 
che offrono comodi menù e caselle da 
spuntare. Va da se che se l’interfaccia 
grafica è incompleta non proporrà 
all’utente tutte le possibili opzioni del 
comando. Per ambienti desktop leg- 
geri — e.g. XFCE (https://www.xfce.org/) 
- suggeriamo l’uso di Catfish (http:// 
www.twotoasts.de/, una GUI (Figura 
1) in GTK+ sviluppata in Python, peri 
comandi find e locate. Per quest’ulti- 
mo comando il database si aggiorna 
cliccando sull'icona delle opzioni in 
alto a destra e optando per Aggiorna 
indice di ricerca. Nell'attuale stato di 
sviluppo è possibile effettuare la ricer- 
ca anche nel contenuto dei file — alme- 
no per quelli non binari — ricoprendo in 
minima parte la funzione di grep (man 
grep). 

FILE APPIMAGE 

Po Non è una novità, la storia risale 
al 2004. Allora il nome era Klik e 
ne scrivemmo anche un articolo (nu- 
mero 70, mese di copertina Dicembre 
2006!). Nel 2011 il nome cambiò in 
PortableLinuxApps e rinominato nel 
2013 in AppImage. Il concetto alla 
base di Applmage (htips://appimage. 
org) è semplice: un’applicazione deve 
equivalere ad un file e ovunque — o co- 
munque - sia stata costruita deve po- 
ter essere lanciata in tutte le distribu- 
zioni in base alla filosofia: scarica il file, 
rendilo eseguibile e lancialo! | curiosi 
possono “aprire” il contenuto di un file 
Applmage utilizzando Software.Appl- 
mage --appimage-mount in un termi- 
nale: verrà effettuato automaticamente 
il mounting in un percorso del tipo / 
tmp/.mount_SoftwarejOeHEm. Un 
file Applmage contiene tutto ciò che 
serve per lanciare regolarmente l’appli- 
cazione — documentazione, librerie e 


eseguibili - e ciò che viene eseguito 
per primo quando si lancia il file è l’ese- 
guibile AppRun in esso contenuto che 
generalmente, ma non esclusivamen- 
te, è un link all’eseguibile dell’applica- 
zione. Sul come costruire un’applica- 
zione con AppImage si rimanda alla 
documentazione ufficiale  (https://gi- 
thub.com/AppImage/AppImageKit/wiki/ 
Creating-AppImages). La linea di pensie- 
ro vede la semplificazione, distribuzio- 
ne e utilizzo del software soprattutto 
nella fase di sviluppo. Utenti e svilup- 
patori non dipendono più dai gestori 
delle distribuzioni per spostarsi su ver- 
sioni più nuove o provare un software e 
non è richiesta nemmeno l’autorizza- 
zione dell’amministratore e/o usare 
programmi come sudo. Ad esempio 
gli sviluppatori di LibreOffice usano 
AppImage per testare le nuove versio- 
ni. Ma non sono gli unici, una lista com- 
pleta del software distribuito agli indi- 
rizzi  https:/github.com/AppImage/Appl- 
magekKit/wiki/Appimages e https://appi- 
mage.github.io/apps/. Ma come lanciare 
un file AppImage? Scaricato il software 
che si vuole provare, ad esempio Leo- 
CAD (https://www.leocad.org), un com- 
pleto CAD 3D per la costruzione di 
oggetti usando i mattoncini LEGO, e 
salvato in una cartella qualsiasi della 
home utente, è sufficiente fornirgli i 
permessi di esecuzione con chmod 
a+X LeoCAD-Linux-19.07.1-x86_64. 
AppImage e lanciarlo cliccandoci so- 
pra. Si possono scaricare file di costru- 
zioni complete all'indirizzo http:/omr. 
Idraw.org/ e la Figura 2 ne mostra una. 
Si ricorda che AppImage non installa 
nulla nelle cartelle di sistema (e nem- 
meno potrebbe visto che viene lancia- 
to come utente “normale”), ma si limita 
al più a creare la directory di lavoro nel- 
la propria home utente: ad esempio 
Stellarium (https:/stellarium.org/) cree- 
rà la cartella nascosta .stellarium. 


QUESTIONE DI PRIORITÀ 


fe, Esistono comandi che permet- 
Sh» tono di variare la priorità di un 
processo/programma consentendo di 
fornire maggiori o minori risorse di cal- 
colo a seconda delle esigenze. Due 
sono le priorità dei processi: una stati- 
ca — in genere associata a processi 


l’AppImage di Stellarium 


Soft e Hard Real-Time - e una dinami- 
ca tipica dei processi ordinari la cui 
esecuzione è stabilita anche in base al 
tipo di schedulatore utilizzato dal ker- 
nel. In ambienti Unix/Unix like, e GNU/ 
Linux non fa eccezione, è possibile 
modificare il valore di nice ovvero il 
tempo che la CPU deve dedicare ad 
un processo. Lanciando in un termina- 
le il comando top senza argomenti 
nell’output potremo notare 2 colonne: 
PR e NI rispettivamente priorità e valo- 
re di nice del processo. La relazione tra 
le due colonne è banalmente aritmeti- 
ca: PR=20+NI. Il range del valore nice 
varia tra -20 (priorità più alta) a +19 
(priorità più bassa). Questo vuol dire 
che assegnando un valore di nice pos- 
siamo modificare parzialmente la prio- 
rità in un valore mappato dal kernel tra 
100 e 189: tutti i valori inferiori compre- 
si da 0 e 99 vengono assegnati dal ker- 
nel a processi real time. Possiamo lan- 
ciare un programma con una data prio- 
rità utilizzando il comando nice (man 
nice), ad esempio nice -n valore_nice 
nome_programma. Se invece voglia- 
mo variare la priorità di un programma 
già in esecuzione allora occorre fare ri- 
ferimento a renice (man renice), ad 
esempio renice -n valore_nice p ID_ 
processo, laddove il PID del program- 
ma possiamo leggerlo dalla prima co- 
lonna dell’output di top. Naturalmente 
la lieve miglioria nelle prestazioni ri- 
guarda solo processi CPU-Bound 
(strettamente dipendenti dai calcoli 
della CPU) poiché per processi I/O- 
Bound (e.g. naltesa di input) pratica- 
mente non serve a nulla, visto che è 
comunque necessario aspettare i tem- 
pi necessari per accedere al disco. 


Bi Fig. 2 * In primo piano LeoCAD, dietro 
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Anno 2062: 


un avventuruoso Viaggio 
nella città Neo Berlin 


E Due personaggi da controllare, una ragazzina e il suo robot 
accompagnatore... tra segreti nascosti, migliaia di linee di dialogo 
e molti luoghi visitabili, il tempo volerà! 


Licenza: Free 
Sito Web: https://chaosmonger.itch.io/encodya 
Tipo: Gioco 


Kickstarter (https:/www.kickstarter.com/ 
projects/piovesan/robot-will-protect-you) 
per la realizzazione di un cortometraggio 
dal titolo Robot Will Protect You. In 
quella raccolta fondi il target minimo era 
8.750€ superati i quali si avevano diversi 


| tutto è iniziato con una campagna su 


target a seconda della quota raggiunta. 
In pochissimo tempo il pluripremiato 
filmmaker Italiano è riuscito a raccogliere 
oltre 23.000€ corrispondenti allo sviluppo 
di un videogioco basato sui personaggi del 
suo stesso cortometraggio. Detto e fatto, 
ecco a voi Encodya, un appassionante 
gioco Sci-fi (Science-fiction) del tipo punta 
e clicca (point’n’click) basato sul motore 
di gioco Unity della Unity Technologies 
(https:/unity.com/. È scritto e sviluppato 
su idea dell’Italiano Nicola Piovesan 
di Chaosmonger Studio (http://www. 
chaosmonger.com/). 
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VOGLIO PROVARLO 
SUBITO! 


Unitamente a “non posso aspettare la 
versione finale”, queste sono le frasi che si 
leggono nei commenti alla presentazione 
e rilascio della prima demo giocabile 
di Encodya. Il gioco sta suscitando 
veramente molto interesse e curiosità, e 
se siete tra quelli che “non ce la fanno ad 
aspettare” allora diciamo subito che una 
vera e propria “installazione” non esiste, 
pertanto provare il gioco è veramente 
facile. È sufficiente puntare il browser 
all'indirizzo https:/chaosmonger.itch.io/ e 
cliccare sull'immagine del nome del gioco. 
Nella nuova pagina clicchiamo sul pulsante 
azzurro in alto recante la scritta Download 
Now. Nella pop-up a comparsa si invita a 
donare qualche cosa per lo sviluppo del 
gioco. Non si è obbligati e se lo si vuole solo 
scaricare è sufficiente cliccare sulla scritta 
No thanks, just take me to the downloads 
per essere rediretti alla pagina del download 
dalla;quale cliecheremo sul pulsante rosso 
corrispondente alla piattaforma in uso, 
ovveto ENCODYA Demo linux.zip per 
avviare il download dell'omonimo file da 
1GB che salveremo in una qualsiasi cartella 
nella home utente. Terminato il download 
è sufficiente decomprimere il file zip: verrà 
creata la cartella ENCODYA DemovVi 
nella quale troveremo il file ENCODYA_ 
DemoV1.x86_64 da lanciare cliccandoci 
semplicemente sopra 1 o 2 volte a seconda 
delle impostazioni del proprio ambiente 
desktop. Il resto possiamo seguirlo nei 
tutorial. Facciamo presente che il gioco, 


nell’attuale fase di sviluppo, non installerà 
nulla in cartelle diverse da quella dove è stato 
decompresso, solo l’engine grafico Unity 
si limiterà a creare una cartella unity3d nel 
percorso /home/nome_utente/.config/. 


MA COS'È ESATTAMENTE? 


Anno 2062, siamo nel distopico mondo di 
Neo Berlin: scuro, buio, sempre piovoso 
e con ambientazioni -— anche negli effetti 
sonori e nell’audio in generale - tali da 
ricordare in ogni aspetto il film del 1982 
Blade Runner del regista Ridley Scott e 
il sequel Blade Runner 2049. In Encodya 
saremo partecipi dell'incredibile viaggio 
di una ragazzina di 9 anni di nome Tina 
— la cui voce è dell'attrice statunitense 
Lizzie Freeman - e del suo grosso e goffo 
robot S.A.M. 53 che le venne affidato 
fin dalla sua nascita per proteggerla: la 
voce del robot è dell’attore e doppiatore 
statunitense Richard Epcar. La storia inizia 
con Tina e SAM 53 costretti a scendere 
dal fly bus perché il loro titolo di viaggio 
è scaduto. Cosa dobbiamo fare? Prima di 
tutto prendere confidenza con l’interfaccia 
grafica, che di per se è molto intuitiva. In 
alto a sinistra sara sempre presente l’icona 
di Tina o SAM 53, ma l’icona che appare 
non è il personaggio attivo, è quello che 
diventerà tale pigiando il tasto TAB, quindi 


L'HARDWARE SUGGERITO 
ALMENO 8GB DI RAM E SCHEDA VIDEO DEDICATA 


La grafica ha un aspetto che ricorda 
molto i fumetti disegnati a mano delle 
anime Giapponesi e con un'animazione 
in stile cyberpunk. Per ottenere questo 
risultato è stato utilizzata la tecnica del 
3D CGI (Computer-Generated Image- 
ry, letteralmente immagini generate al 
computer). Premesso questo, al mo- 
mento di scrivere ancora non è stata 


se c'è Tina il personaggio attivo è SAM 53 
e viceversa. Nel terzo passo del secondo 
tutorial è riportato come interagire con gli 
oggetti del gioco: nello specifico con la 
ticket machine, ma la stessa dinamica vale 
per tutti gli oggetti per i.quali il puntatore del 
mouse diventa una croce con l’animazione 
di caricamento, esattamente come riportato 
nel tutorial di gioco in quarta pagina (terzo 
passo primo tutorial). Premesso questo, 
non.dobbiamo perdere di vista l’obiettivo 
del gioco: guadagnare soldi a sufficienza 
per comprare due ‘biglietti per prendere 
un fly bus. Tutto qui! Vi sembra facile? 
Seguiteci nel nostro percorso iniziale oltre 
il quale dovrete continuare da soli. La storia 


Routine iniziale 


Parametri di base e dinamica di gioco 


indicata una configurazione minimale 
quindi riportiamo le caratteristiche del 
PC dove è stata effettuata la prova: CPU 
AMD octacore FX8300, 8 GB di RAM e 
una scheda video nVidia GeForce GT 
710 con 2GB di RAM video. Con questo 
hardware non si è avuto alcun problema 
durante le sessioni di prova. Lo spazio 
necessario su hard disk è di circa 2GB. 


è un infinito puzzle! Arrivati al terzo passo 
del terzo tutorial l’obiettivo è mettere pace 
tra il cyberjunkie e il padre, l’Asian Chef del 
Ramen Shop. Ma il cyberpunk scriverà al 
padre solo se Tina e SAM 53 riusciranno a 
fargli avere un nuovo visore, da acquistare 
in un negozio di informatica. Il titolare del 
negozio regalerà un visore usato a Tina e 
SAM 53 solo se SAM 58 riuscirà a procurargli 
un determinato accessorio presente in un 
deposito accessibile solo ai robot ma non 
agli umani. Ma questo è solo l’inizio! Ora, 
però, non ricordiamo più il perché di tutti 
questi giri. Ah si, per acquistare due biglietti 
per un fly bus che possa portare i nostri due 
personaggi a Shelter! 


i CONFIGURAZIONE 
0 i Ad ogni lancio - per queste prime 
versioni fino a quando non avrà 
un menù dedicato - verrà aperta la finestra 
ENCODYA Configuration (in figura) nella 
quale decideremo per la risoluzione grafica 
{Screen Resolution], se il gioco dovrà esse- 
re all'interno di una finestra spuntando la 
casella Windowed o meno e sulla qualità 
grafica. 


) OPZIONI 


| Click su OK al termine delle 


scelte e, dopo qualche secondo su 


necessario al caricamento dei dati, verrà 
visualizzato il menù principale (Figura 

1). Clicchiamo prima sulla voce Options 

e assicuriamoci che i sottotitoli siano su 
ON. Regoliamo in base ai gusti i volumi del 
parlato (Speech), della musica (Music) e 
degli effetti sonori (SFX). 


) SUGGERIMENTI 

| Dal menù l'altra voce di interes- 

' se è Tutorial cliccata la quale 
avremo 4 pagine da leggere per capire 
come funziona il gioco (molto intuitivo) 
e quali sono i tasti da utilizzare per inte- 
ragire. AL momento il gioco è localizzato 
solo in Inglese, ma confidiamo che al pri- 
mo rilascio completo avrà diverse lingue, 
compresa quella Italiana. . 


iniziamo a giocare 


Titolo di viaggio scaduto? Fuori da questo fly bus! 


SI GIOCA 
Dopo un video introduttivo, di 
. fatto il trailer del gioco, trovia- 
mo Tina e SAM 53 fermi ad una fermata 
del fly bus. Per giocare dobbiamo mettere 
in pratica quanto letto nel terzo passo del 
primo tutorial. Prima di tutto verifichiamo 
dove ci troviamo e dove dobbiamo arrivare. 


SPOSTAMENTI 

Interagiamo con il nervoso robot, 

vediamo cosa c'è nel bidone del- 
la spazzatura ecc. Dopo aver fatto un po' di 
prove facciamo camminare Tina o SAM 53 
fino all'insegna ruotante a destra. Portan- 
do il puntatore del mouse sul bordo destro 
vedremo apparire una freccia con la scrit- 
ta Crossroad: clicchiamoci per camminare 
lungo tale strada. 


OBIETTIVO 

Premiamo il tasto Mo clic- 

chiamo sul foglio di carta in 
alto a destra dove c'è il gruppo di 
icone. Il punto di partenza è la fer- 
mata.a Crossroad in basso a destra: 
l'obiettivo è arrivare a Shelter in 
alto a sinistra. 


PERSONAGGI | 

Sulla sinistra vedremo un uber 

bot tutto intento a dirigere un 
traffico inesistente! Interagiamo con esso 
con SAM 53 e Tina. Facciamo attenzione al 
dialogo con il traffic bot poiché fornisce un 
suggerimento su come guadagnare soldi 
- facendo arrestare un vecchio gangster, 
a due passi da noi - e cosa serve per otte- 
nerli (le sue impronte digitali). 


INTERAGIRE 

Selezioniamo SAM 53 o Tina, 

spostiamo il puntatore del mou- 
se sulla ticket machine sulla destra. Quan- 
do il cursore cambia icona click con il tasto 
sinistro e scegliamo la modalità di intera- 
zione - selezionabile tra più icone - che può 
prevedere diverse domande e risposte. 


OGGETTI 

| A questo punto, per quanto riferi- 
® to dal traffic bot, dovremo entra- 
re nel negozio asiatico al centro, il Ramen 
Shop. Interagiamo con tutti ma prestiamo 
attenzione all'Asian Chef perché ci occorre- 
rà un oggetto che ci darà solo se gli facciamo 
fare pace con il figlio. Pertanto dovremo ri- 
tornare alla fermata del bus e interagire con 
un cyberjunkie {il figlio). 
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La piuma di Forrest 
Gump nel tuo video 


M Uno degli effetti realistici più famoso è la danza della piuma 
che va a posarsi ai piedi di Forrest Gump: con Kdenlive possiamo 
simulare questo tipo di effetto, usando un green screen e un paio 
di effetti per la manipolazione della trasparenza 


€, 


li effetti speciali migliori non sono i 
(un le esplosioni, o la sparizio- 

ne di un attore come in un trucco 
di magia. Sono sempre quelli che sembra- 
no perfettamente realistici e non appaiono 
nemmeno come effetti speciali. Non dimen- 
tichiamo, infatti, che effetti speciali e visuali 
non sono il fine della cinematografia, sono il 
mezzo con cui possiamo raccontare meglio 
le nostre storie. Gli effetti aggiunti devono 
quindi essere utili a trasmettere un messag- 
gio, o comunque a far proseguire la trama. 
Se si sta girando un film realistico si può 
comunque avere bisogno di effetti visuali 
per facilitare alcune riprese che, altrimenti, 


sarebbe possibili ma molto difficili. Vi sono 
ormai molto esempi di questo utilizzo nel 
cinema, praticamente qualsiasi film utilizza 
degli effetti visuali per simulare scene rea- 
listiche senza affidarsi troppo al caso. Ma 
l'esempio più comune nell'immaginario col- 
lettivo è la famosa piuma di Forrest Gump. 
La piuma, che vola davanti alla cinepresa 
nella sequenza di apertura e in quella di 
chiusura, non è reale. Sembra perfettamen- 
te reale perché avrebbe potuto esserlo, tutti 


‘hanno visto volare delle piume, ed è scon- 


tato che una piuma possa appoggiarsi sul 
terreno vicino un attore, permettendogli 
di raccoglierla. Il problema è che girare la 


Duplicare la clip originale 


Inseriamo in due tracce diverse la clip filmata all’aperto 


LA PRIMA CLIP 
La prima cosa da fare è posizionare la clip ripresa 
all'aperto nella traccia Video1. Bisogna tagliare la clip 
nel punto in cui si vuole passare dalla piuma su green screen a 
quella nel video all'aperto. 
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scena affidandosi al caso, sperando che 
la piuma si posi nel punto giusto da sola, 
è assurdo, richiederebbe troppo tempo. 
La soluzione adottata per Forrest Gump è 
di filmare la piuma in studio con un green 
screen (in realtà, all’epoca si usava un blue 
screen). L'immagine viene poi sovrappo- 
sta alla ripresa girata, sostituendo la piuma 
“finta” (quella filmata in studio) a quella vera 
(filmata all'aperto, con l'attore) nel momento 
esatto in cui è previsto che la piuma tocchi il 
terreno. Anche noi, con Kdenlive, possiamo 
ottenere un risultato simile: abbiamo sem- 
plicemente bisogno dei due video. Per ren- 
dere l'esempio più semplice, realizzeremo il 
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DUPLICAZIONE 


Spostiamo la seconda parte della clip nella traccia Vi- 
deo2 mantenendo l'allineamento. Trasciniamo la ma- 
niglia sinistra della clip, per allungarla fino a riottenere la dimen- 


sione originale. Si esegue nuovamente il taglio, nello stesso punto. 


Usando il rotoscoping e una transizione possiamo far sparire la piuma 
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LA TRANSIZIONE 
[1] 1 La seconda parte della clip va messa nuovamente nella 
traccia Video1, così da avere nella traccia Video2 sol- 
tanto la prima parte della clip, perfettamente sovrapposta a quella 
della Video1, con una transizione di tipo Composite and transform. 


ROTOSCOPING 
02 Aggiungiamo alla clip della traccia Video2 un effetto di 
tipo rotoscoping, disegnando un contorno abbastanza 
grande da coprire la piuma, ma in un punto vicino, di fatto selezio- 
nando lo sfondo su cui la piuma è poggiata. 
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COPRIAMOLA LA SFUMATURA 
0 — Lavorando sulla transizione, possiamo spostare l'im- Per rendere i bordi più sfumati, si può tornare sull'ef- 


magine ritagliata col rotoscoping in modo da coprire 
perfettamente la piuma. Se la cinepresa è ferma, non c'è bisogno 


di seguire lo spostamento. 


video all'aperto, quello con l'attore, con la 
cinepresa fissa, in modo da non dover se- 
guire il suo movimento mentre cancelliamo 
la piuma, ma ovviamente si può anche spo- 
stare la camera, cercando di seguire poi la 
piuma con i fotogrammi chiave. 

L'idea è infatti di realizzare il filmato all'aper- 
to con la piuma sempre inquadrata sul pa- 
vimento, anche quando in teoria dovrebbe 
fluttuare in aria. Usando Kdenlive possiamo 
copiare un’altra zona del pavimento e so- 
vrapporla alla piuma per farla sparire, toglien- 
do questa copertura solo nel momento in cui 
vogliamo che la piuma appaia. Poi, dobbia- 
mo solo filmare la piuma in studio, davanti 


fetto Rotoscoping e impostare la feather width a 4, 
mantenendo i feather passes a 1. Questo dovrebbe permettere di 


fondere bene la zona ritagliata e quindi far sparire la piuma. 


a un green screen. In questo caso, è bene 
girare il filmato al contrario, partendo quindi 
dalla posizione in cui la piuma si deve trovare 
alla fine. In altre parole: mentre prepariamo 
il green screen, prendiamo la piuma legata 
a un filo trasparente e la posizioniamo esat- 
tamente nella posizione in cui dovrebbe tro- 
varsi quando tocca il terreno, cioè la stessa 
posizione in cui l'avevamo filmata durante le 
riprese all’esterno. Poi possiamo riprenderla 
mentre la facciamo dondolare muovendo il 
filo: basterà usare Kdenlive per far andare la 
clip al contrario, partendo dalla fine, così da 
poterla sovrapporre perfettamente alla piu- 
ma presente nel filmato ripreso all’esterno. 


I Fig. 1 è La piuma in green screen so- 
vraimpressa sul video girato all'aperto 


Come sempre, puoi vedere il video 
d'esempio al seguente indirizzo: 
http://bit.Iy/piumalinux 
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COME FILMARE LA PIUMA IN GREEN SCREEN? 


renti distorsioni ottiche e faci- 
litare la sovrapposizione delle 
due immagini della piuma 


Per filmare la piuma nel green 


screen conviene usare un telo 
verde uniforme, che si deve 

appoggiare anche a terra, visto Co ILL 
che in partenza la piuma de 
essere appoggiata al pavi- 


ninazione, inoltre, é 
per cancellare le ombre e dar 
mento. È importante usare la alla piuma una illuminazione 
più simile a quella di un luce 
molto diffusa, come quella 
del Sole. In alternativa, si può 


stessa lunghezza focale che si 
è usata per la ripresa all'ester 
no, in modo da ni iffe 


f 
Riavvolgiamo la clip 


usare una luce molto forte 
proiettata sul soffitto bianco, in 
modo da avere per l'appunto 
una luce di riempimento senza 
ombre forti. È una buona idea 
assicurarsi che non ci siano 

i luce dal retro, perché 
rischierebbero di rendere 
visibile il filo trasparente a cui 
è legata la piuma 


fonti 


E Fig. 2 * La piuma presente 
nel video girato all’aperto 


Il filmato in green screen deve andare all’indietro 
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NUOVO CLIP JOB 
01 Cliccando con il tasto destro del mouse sulla clip 
in green screen, nel Project bin, si può manipola- 
re la clip con il menù Clip job. Qui bisogna scegliere la voce 
Duplicate clip with speed change. 
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TAGLIO PRECISO 
03 Inseriamo la nuova clip, quella che si presenta 
con .mlt nel nome, nella traccia Video3. Tagliamo 
la clip nel punto in cui la piuma appare appoggiarsi sul ter- 
reno: il taglio va fatto proprio nel fotogramma esatto in cui 
la piuma si ferma. 
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VIDEO IN REVERSE 
0 2 L'obiettivo è di ottenere una clip all'indietro, quin- 
di bisogna cliccare sul menù con le tre linee oriz- 
zontali, scegliendo la voce Reverse clip. La velocità della 
nuova clip verrà impostata a -100%. 
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STESSA LUNGHEZZA 

Si deve anche tagliare la clip all'inizio, per assicu- 
rarsi che abbia la stessa lunghezza delle clip a cui 
è sovrapposta. Bisogna poi assegnare alla clip della traccia 
Video3 una transizione di tipo Composite and transform, che 
deve essere riferita alla traccia Video1. 
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La piuma finta si sovrappone all’originale 


Usando le transizioni si sostituisce la piuma in chroma key a quella del video all’esterno 
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IL CHROMA KEY 
Aggiungiamo alla clip della traccia Video3 un effetto 
di tipo Chroma key. Il colore da selezionare è ovvia- 
mente quello dello sfondo, così da farlo scomparire e lasciare 
soltanto la piuma. 
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RIDUZIONE LIEVE 

Inseriamo poi un effetto Alpha operation, scegliendo 

l'operazione Shrink soft. Impostiamo un amount che 
ci permetta di togliere un po' di contorno alla piuma senza però 


cancellarla troppo. 
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SOVRAPPOSIZIONE 

Lavorando sulla transizione, possiamo ridimensio- 

nare e spostare l'immagine della piuma in modo che 
nell'ultimo fotogramma si sovrapponga perfettamente alla piuma 
presente nella clip della traccia Video1. 
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CON IL ROTOSCOPE 

Se necessario, aggiungiamo un effetto Rotoscoping, 
per ritagliare le parti dell'immagine non necessarie 
{dove non c'è la piuma]. È importante che questo effetto sia posi- 
zionato sopra al chroma key. 


wma mecinoe sooersot merisa: tara aos 


und: Doe ® © rende 
ÎÉ E'Brces for COOTIAM& PR 
O > Asdacoranta; e=n 
Display image 
Dripizy mene sora 
Que s0oe è ®» 
s 
Prrnont 
SA ee em ta 
A 


L4OO © di i sa 3 a 
Es Montor Faye: Mines 
* ©- 


iii 


BORDO SFOCATO 

0 Ora ci serve un altro effetto Alpha operation. In 
questo caso, però, bisogna scegliere l'operazione 
Blur, impostando un amount minimo. Basta che il bordo sia 
leggermente sfumato 
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LE CURVE DI LUCE 

Per aiutarsi nella sovrapposizione, basta nascondere 
temporaneamente la traccia Video2. È bene aggiusta- 
re anche la luminosità per farla coincidere, usando un effetto di 
tipo Curves, abbassando le alte luci e alzando i mezzitoni. 
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iamo una definizione sommaria 
di firewall: firewall è qualsiasi 
dispositivo (software o hardware) che 


abbia lo scopo di impedire agli utenti esterni di 
accedere ad una rete o ad un singolo sistema; 
in buona sostanza il firewall è un meccanismo 
di pass-through il cui compito principale è 
accettare oppure rifiutare pacchetti. Vista la 
notevole diffusione saremo portati a pensare 
che Iptables sia l’unica implementazione di 
filtraggio dei pacchetti del kernel da sempre 
e che non esistano alternative, effettivamente 
Iptables/netfilter è stato introdotto nel kernel 
2.4 nel lontano 2001 ed è quindi ben maturo. 
I suoi predecessori (ipchains e ipfwadm) sono 
per lo più stati dimenticati col tempo. Iptables 
ha servito bene la comunità Linux e rimane 
ancor oggi il meccanismo di firewalling 
più utilizzato ma per molte aziende, come 
Facebook e Netflix, non è la migliore soluzione 
possibile al problema. 


SI PASSA A BPF! 


L’annuncio del bpfilter o BPF (https://lwn. 
net/Articles/747551/) effettivamente ha 
cambiato le carte in tavola. In breve, il bpfilter 
è un sistema che consente la creazione di 
programmi BPF che possono essere collegati a 
diversi punti nel percorso del pacchetto di rete 
e prendere decisioni di filtraggio. Nelle patch 
create sinora, tali programmi sono collegati 
al livello XDP (eXpress Data Path), dove 
vengono eseguiti dai driver dell’interfaccia 


di rete. I programmi BPF consentono di 


è Linux Magazine 


BPF, IL FIREWALL 


OLTRE NETFILTER 


Proteggere la propria Linux box 
dai pericoli provenienti dall’esterno 
è d’obbligo per qualsiasi sistemista 


e la prima linea di difesa 
è sempre il firewall 


Valerio Guaglianone 


applicare regole di filtraggio come le regole 
iptables, questi programmi possono essere 
compilati just-in-time sulle architetture più 
popolari, quindi sono molto veloci ed il tutto 
sposta completamente l’elaborazione delle 
regole di firewall dalla CPU sollevandola da 
questo compito. Una delle caratteristiche 
di progettazione di bpfilter è la capacità di 
tradurre tutte le regole iptables esistenti in 
programmi di tipo BPF. Questa funzionalità ha 
lo scopo di rendere più semplice la migrazione 
delle configurazioni firewall esistenti al nuovo 
schema BPF in totale trasparenza, senza che 
gli amministratori di sistema sappiano ciò 
che sta accadendo. Il BPF non è totalmente 
sconosciuto è stato originariamente utilizzato 


UNO SCRIPT 
PER EBPF 
Si può provare ebpf con un 
semplice filtro scritto in Python, 
che potete trovare sul nostro 
sito: 
http:/bit./y/ebpflinux 


per il filtraggio dei pacchetti per strumenti 
come tepdump  (https://www.tcpdump. 
org/), questo strumento permette agli utenti 
l’accesso ai pacchetti per leggere e processare 
rapidamente il traffico di rete. 


DA BPF A EBPF 
L'EVOLUZIONE CONTINUA 


Il BPF originale è nato intorno ai primi anni 
'90 ma più recentemente, l’implementazione 
presente nel kernel Linux, è stata estesa con 
più funzionalità per divenire quindi l’eBPF 
(o extended Berkeley Packet Filter). Ad ogni 
modo, colloquialmente oggi sono utilizzati 
entrambi i termini in modo interscambiabile 
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BI Fig. 1 La logica di iptables 
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M Fig. 2 * La comunicazione tra programma e kernel in eBPF 


per indicare l’attuale implementazione BPF 
di Linux. Alla luce di quanto letto sinora 
verrebbe da pensare che BPF ed eBPF siano 
perfettamente identici, non è proprio così; 
perché il secondo sta subendo un’evoluzione 
molto interessante. Pur provenendo dal mondo 
BSD l’implementazione eBPF Linux è un vero 
"Swiss knife" per sistemisti e sviluppatori; 
a partire dal kernel 3.18 l’eBPF può essere 
utilizzato anche per attività non esclusivamente 
legate alle sole reti come la profilazione (o 
profiling) possiamo, ad esempio, eseguire 
il debug di processi in esecuzione. Il kernel 
3.19 (nel 2015) ha successivamente aggiunto 
il supporto per il collegamento alle sockets, 
tuttavia, è con la serie Linux 4.x che si è 
arricchito di nuove ed interessanti funzionalità 
riguardo il filtraggio del traffico di rete. 

Ad esempio, col kernel versione 4.1 l’eBPF 
fornisce filtri in ingresso ed in uscita. Queste 
ultime aggiunte permettono di influenzare il 
traffico di rete. Infine, col Kernel 4.15 (2018) 
è anche possibile gestire hook eBPF per il 
framework Linux Security Modules (o LSM) 
per intenderci parliamo di progetti come 
AppArmor, SELinux e TOMOYO. In breve, 
eBPF è effettivamente multiuso ed è diventato 
un potente toolkit utilizzato dagli stessi 
sviluppatori del Kernel Linux. Non c'è perciò 
da stupirsi se altre aziende hanno costruito 
grandi strumenti intorno ad esso, per consentire 
la misurazione delle prestazioni e la risoluzione 
dei problemi. Un buon esempio è il lavoro 
fatto da Brendan Gregg che lavora per Netflix. 
Brendan ha contribuito in maniera molto 
incisiva al BCC (BPF Compiler Collection), 
che è lo strumento usato per interagire e 


recuperare dati tramite eBPF. L’eBPF aiuta 
concretamente oggi Netflix a rispondere a 
molte domande legate alla loro infrastruttura, 
come: 


* quali sono le connessioni TCP 

attive su un server 

* quali e quante query MySQL sono 

più lente della soglia specificata 

* quali sono le chiamate EXTA4 più lente 
* il numero di chiamate NFS 

che vengono effettuate 

* controllare le latenze medie 

delle richieste su disco 


E molto altro; una buona fonte di informazioni 
a riguardo è il blog di B. Gregg (Attp://www. 
brendangregg.com). 


THE NEXT-GENERATION 
LINUX FIREWALL 


Il compito primario del firewall è riconoscere 
il traffico buono da quello cattivo e soprattutto 
bloccare il traffico cattivo. Per fare questo, 
qualsiasi firewall, ha bisogno di regole per 
eseguire i controlli sul traffico dei dati. Per 
capire dove si trova eBPF nell’ecosistema 
delle infrastrutture, vale la pena guardare dove 
le aziende hanno scelto di usarlo rispetto ad 
altri modi più convenzionali di risolvere il 
problema. L'attuale implementazione “de 
facto” per un firewall Linux utilizza Iptables 
Iptables 
consente di configurare un set di tabelle 
netfilter che manipolano i pacchetti in diversi 
modi. Ad esempio, la regola seguente elimina 


come meccanismo sottostante. 


(o droppa in gergo) tutte le connessioni 
provenienti dall’indirizzo IP 10.102.102.10: 


iptables -A INPUT -s 10.102.102.10 -j DROP 


Iptables può inoltre essere utilizzato per 
diverse attività di manipolazione dei pacchetti, 
ad esempio il NAT (Network Address 
Translation) oppure per inoltrare pacchetti. 
Tuttavia, lavorando con Iptables ci si imbatte 
in alcune limitazioni significative: 


* le regole iptables vengono comparate 

in sequenza 

e gli aggiornamenti iptables devono essere 
effettuati ricreando/aggiornando tutte 

le regole in una singola transazione 

* le regole Iptables vengono popolate quasi 
esclusivamente tramite il comando iptables 


Questi limiti comportano, in condizioni di 
grande traffico (come quelle sperimentate 
da servizi sufficientemente complessi come 
Facebook) oppure in un sistema con un gran 
numero di modifiche alle regole iptables, 
un sovraccarico di prestazioni per Iptables 
che possono degradare pesantemente o 
disconnettere un intero servizio. In realtà per 
mitigare il tutto si è ricorso a nftables; questo 
sistema è progettato per migliorare Iptables ed 
è molto simile a BPF in quanto implementa 
una macchina virtuale nel kernel. Comunque, 
con l’avvento e le ottimizzazioni di BPF, 
nftables, è diventata una tecnologia sulla quale 
si investe sempre meno. Presumibilmente il 
comando iptables rimarrà presente in Linux 
ma utilizzerà l'algoritmo di eBPF. 
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I VANTAGGI DI BPF 


BPF offre dei grandi miglioramenti rispetto al 
tradizionale approccio di Iptables, vediamone 
alcune: 


* BPF viene implementato come set di 
istruzioni in una macchina virtuale basata 

su registri e quindi può essere pesantemente 
ottimizzato 

* il confronto avviene con la regola "più 
vicina", anziché scorrere l’intero set di regole 
dichiarate 

* BPF offre l’introspezione dei dati sui 
pacchetti e questo gli permette di prendere 
decisioni sul filtraggio con efficienza 
maggiore 

* BPF può essere compilato ed essere 
eseguito collegandolo a livello XDP; ovvero 
il primo punto possibile per interagire con il 
traffico di rete — 

* a motivo della compilazione JIT, la maggior 
parte del lavoro di conversione avviene in 
userspace (cioè nello spazio utente) 


Un'altra miglioria offerta da BPF è l'offload 
hardware, grazie alle migrazioni dalle regole 
netfilter esistenti al nuovo modello; le regole 
Iptables, rammentiamo, vengono convertite 
automaticamente in programmi BPF. Le 
caratteristiche esposte sinora possono produrre 
numerosi benefici impressionanti in termini 
di prestazioni. Nei test eseguiti da CloudFlare 
BPF con XDP era circa cinque volte migliore 
rispetto a Iptables. Facebook, ad esempio, ha 
dichiarato di aver ottenuto un utilizzo delle 
CPU molto più prevedibile con l’uso del 
filtro BPF. Ciò che viene prodotto all'interno 
della comunità del kernel così com'è è un 
cambiamento enormemente importante in 
ambito networking. eBPF è uno strumento 
duttile che porta la programmazione di rete 
nel kernel. Può gestire il controllo della 
congestione (TCP-BPF), il tracing (kprobes, 
tracepoints) e la rete ad alte prestazioni (XDP, 
cls_bpf). 

Sebbene eBPF offra grandi potenzialità 
sorge un problema: è difficile da configurare 
tramite il suo assembly o attraverso 
un’interfaccia in C, e si ricorre quindi al 
progetto BPF Compiler Collection (o BCC) 
già accennato in precedenza. La maggior 
parte degli strumenti che usa BCC richiede 
Linux 4.1 e/o versioni successive. Il BCC 
(https://www.iovisor.org/technology/bcc) 
semplifica la scrittura di programmi eBPF 
grazie all’utilizzo di interfacce front-end in 
Python, Go, Rust e Lua. 


0ess 
sea 


44 è Ln Magazine 


[te 0) LL | CLUS | 0 N È tutti gli strumenti a disposizione soffrivano 


Fino agli anni '90, la cattura dei pacchetti in di basse prestazioni dovute al passaggio 
una rete era molto problematica, in quanto di un gran numero di pacchetti da kernel- 


FIREWALL CON PACKET-FILTERING, 
NON SOLO LINUX: PFSENSE 
(UN FIREWALL IN SALSA BSD) 


pfSense (https://www.pfsense.org) è, come forse molti utenti già sanno, un'ap- 
pliance per il firewalling basata su FreeBSD. Può essere configurato ed ag- 
giornato tramite un'interfaccia web-based e spesso viene eseguito su siste- 
mi embedded; inoltre non richiede alcuna conoscenza del sistema operativo 
FreeBSD sottostante. Tuttavia, non molti forse sanno che pfSense si basa sul 
potente software PF (Packet Filter) di OpenBSD, che è stato rilasciato alla 
fine del 2001 e da allora è stato portato a molti altri sistemi operativi tra cui 
FreeBSD, NetBSD, Debian e MacOSX. 

In realtà fino al 2001 il compito di filtraggio del traffico di rete era affidato ad 
IPFilter. IPFilter è stato successivamente rimosso, dalla struttura di origine 
di OpenBSD, a causa dei problemi di licenza lasciando il posto al PF; la ver- 
sione OpenBSD di IPFilter conteneva in realtà diverse modifiche e persona- 
lizzazioni che, come si è scoperto, non erano consentite in base al contratto 
di licenza. Sebbene per alcune settimane, la versione di sviluppo di OpenB- 
SD, non includesse alcun software di firewalling la migrazione da IPFilter al 
PF non ha comportato problemi gravi oppure ritardi, in quanto i due sistemi 

. sono molto simili tra loro. 

Per di più, il PF ha fatto meglio nei test di performance, eseguendo con ri- 
sultati migliori il filtraggio sotto stress rispetto ad IPFilter su OpenBSD 3.1 
e Iptables su Linux. L'overhead di PF è relativamente basso ed è in grado 
di funzionare in modo efficiente persino su hardware piuttosto modesto. 
Aziende come NetGate (htips://www.pfsense.org/products/) commercializzano 
soluzioni pfSense ad-hoc, anche in ambito Cloud (AWS/MS-Azurel], a prezzi 
davvero interessanti. 


Wjsense 


Status / Dashboard 


Ilie] dem 


pÉSense 

Serial 00000000-0000-0000-0000-0cc47a1a3dbc 
Naîgate Device 10: 73c7b3/405de5d4b3b5f 
Vendo American Megatrends inc. 

Version: 1.0 

Release Date: Tue Sep 16 2014 

2.4.00-RELEASE iamdtdi 

Bulit ne Tue Oct 10 06:43:01 CDOT 2077 

FreeBSD 11.1-RELEASE-p7 


Version infisimation updated at Fri Oct 13 W6:39:21 PET 2017 
c 

IntaltR> Atomi TM}: CPU 02758 È 2 4OGHz 

8 CPUS: 1 packagels) x 8 corefs) 

AES:NI CRU Crypto: Yes factiveì 


AES-CBOAESXTSAES-GUMAESICORI 


24 Hots 39 Minutes 58 Seconds 


BM Fig.3* Webmin fornisce, di default, a corredo tutti i moduli 
per i servizi più diffusi 


space a user-space, il BPF si è mostrato 


sufficientemente flessibile e potente da 
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diventare l'implementazione di riferimento 
prima nella libreria PCAP e poi all'interno 
del kernel di Linux. Oltre ai benefici 
prestazionali, alcune applicazioni utilizzano 
BPF in combinazione con i proxy userland 
(come Envoy) per consentire oppure negare 
i protocolli HTTP, gRPC, DNS o Kafka; 
una funzionalità, questa, molto difficile da 


(alpha) — (mature) 


(brutal) Ease of USE (less brutal) 


implementare con l’Iptables esistente al 
momento. 
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BCC 


Dynamic Tracing Tools for Linux 


O Fork on Github 


Per installare una versione funzionante di BCC, 

per Ubuntu, installiamo i pacchetti necessari dal 
repository iovisor, purtroppo i pacchetti presenti nei repo di 
Ubuntu restituiscono errori in fase di esecuzione. 


Per utilizzare le funzionalità eBPF è necessario 
un kernel Linux recente. Inoltre, il kernel in uso 
dovrebbe essere stato compilato con i flag BPF impostati, 
controlliamo l'output del comando: 
cat /boot/config-$(uname -r) | grep BPF. 


The eBPF Tracing Landscape, Jan 2019 


Fig. 4 Questi 
sono gli strumenti 
per lavorare con 
eBPF, recensiti 
da Brendan Gregg: si 
nota come bcc sia uno 
dei più avanzati in 
termini di stabilità, 
dall'ampia gamma di 
applicazioni, e non 
troppo difficile da 
utilizzare 


(Brendan's opinion) 


Serrminole vp regine. 


Ecco i comandi: 

echo "deb [trusted=yes] https://repo.iovisor. 
org/apt/xenial xenial-nightly main" | sudo tee /etc 
apt/sources.list.d/iovisor.list di 
sudo apt-get update && sudo apt-get install 


bcc-tools libbcc-examples linux-headers-$(uname -r) 


Tutto è pronto per l'esecuzione, lo script in Python 

https://linuxmagazine.edmaster.it/vari/codice-bpf- 
linuxmag193.zip mostra tutte le connessioni TCP attive nella 
nostra Linux box; non resta che avviarlo. L'esecuzione richiede 
i privilegi di root sarà sufficiente ricorrere al sudo. 
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egli ultimi tempi si sente un gran par- 
lare di blockchain, ma si è capito che 
cos’è? Dai media o da quello che si 


può leggere sui giornali, on-line o meno, la 
blockchain viene indicata come una tecnologia 
applicabile in diversi campi come la sanità, la 
pubblica amministrazione, trasporti pubblici, 
gestione dei brevetti fino alla gestione delle 
risorse umane e finire la corsa al contrasto del 
cosiddetto Italian sounding (prodotti venduti 
all’estero che nel nome richiamano l’originale 
Italiano, e.g. il Parmesan) ovvero il falso Made 
in Italy che origina una perdita stimata intorno 
ai 100 miliardi di € l’anno! 


INFORMAZIONI 
DI MASSIMA 


Diversamente da ciò che alcuni pensano la 
genesi della blockchain non è partita in toto 
con la moneta elettronica Bitcoin, ma è sta- 
to un processo lungo e articolato originatosi 
nel lontano 1991 con la pubblicazione How to 
Time-Stamp a Digital Document nella quale 
si riporta una procedura computazionale per 
la marcatura temporale dei dati dei documenti 
che rende impossibile retrodatare o anticipare 
la creazione del documento impedendone così 
la falsificazione. Da quel 1991 la sicurezza e 
le tecnologie informatiche hanno fatto passi da 
gigante ma solo nel 2008 con il paper Bitcoin: 
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BLOCKCHAIN, 


UNO SPACCATO 


SULLA TECNOLOGIA 


Una combinazione di tecnologie, ideologie, 
e strumenti informatici che, se usata 

con diligenza, permetterà di migliorare 
diversi aspetti delle attività umane 


A Peer-to-Peer Electronic Cash System di tal 
Satoshi Nakamoto (chiunque si celi dietro quel 
nome) la tecnologia blockchain sale alla ribalta 
del grande pubblico. Al di là del significato lette- 
rale, catena di blocchi, che illustra intuitivamente 
l’architettura, possiamo definire la blockchain 
un insieme di tecniche, protocolli e strumenti 
tramite i quali è possibile avere transazioni 
memorizzate all’interno di un archivio digitale 
distribuito e decentralizzato (tipicamente una 
rete P2P) in grado di garantire fiducia e sicurezza 
dei dati senza la necessità di un soggetto centra- 
lizzato che verifichi e autentichi la correttezza 
delle scritture all’interno dei registri (ledger) 
— o libri mastri — distribuiti e duplicati nei nodi 
della rete. La sicurezza del ledger è assicurata 
da un insieme di tecniche che fanno uso della 
ricerca crittografica e della teoria dei giochi. 
Da tale definizione appare chiaro l’acronimo 
associato alla blockchain: DLT, Distributed 
Ledger Technology, letteralmente tecnologia 
con registri distribuiti. Per tale risultato vengo- 
no impiegate tecnologie esistenti da anni cui 
accenneremo nel seguito. 


NESSUN SERVER, 
O QUASI 


A molti è noto il protocollo FTP (File Transfer 
Protocol), per averlo utilizzato nel download di 
file come le immagini ISO della propria distribu- 


Michele Petrecca 


zione. Le interazioni via FTP possono avvenire 
utilizzando specifici client come Filezilla o 
gFTP. Trattasi di una tipica architettura client- 
server (Figura 1) nella quale il server mette a 
disposizione dati/file e i client, collegandosi a 
esso, possono scaricarli. L'upload è permesso 
solo agli utenti autorizzati presso il server. Se 
per qualche motivo (e.g. manutenzione) il server 
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® Fig. 2 * BitTorrent a sinistra, e2DK al centro, Gnutella/Freenet a destra 


va off-line il servizio non sarà più disponibile 
fino al ripristino a meno di prevedere una ri- 
dondanza. E se distribuissimo risorse e servizi 
tra diversi computer invece di avere tutto su 
un computer centrale? Ci sposteremo verso il 
paradigma delle reti P2P acronimo di Peer-to- 
peer, un'architettura distribuita nella quale i vari 
nodi che la costituiscono non sono gerarchizzati 
e condividono parte o tutta di una risorsa infor- 
matica, tipicamente uno o più file memorizzati 
su hard disk ma in diversi casi può essere anche 
la potenza di calcolo della CPU o altro. 

In tale architettura il concetto client/server viene 
sostituito dal peer (nodo paritario) senza ne- 
cessità alcuna di avere un nodo principale (e.g. 
server) che coordini tutti i nodi i quali, a loro 
volta, a seconda delle circostanze, svolgeranno 
la funzione di client e/o server. Per quest’ulti- 
ma funzione si è soliti suddividere la risorsa 
file in chunk, frammenti del file completo di 
dimensione variabile - tipicamente da 32KB a 
1MB - permettendo così di condividere parte 
di un file più grande senza ancora averlo tutto 
scaricato. Tutto ciò a vantaggio della velocità 
di download del richiedente che può scaricare 
più parti del file da più fonti, fermo restando 
le limitazioni indotte dal tipo di connessione 
a disposizione. Ma perché è stato utilizzato il 
plurale scrivendo di reti P2P? Perché diverse 
sono le “sfumature” (Figura 2). La e2DK (nota 


per il client aMule o eMule) è quella che più 
si avvicina all’architettura client-server poiché 
necessità di server che mantengono la lista dei 
client e dei file da loro posseduti: la dinamica 
vede il client contattare il server per le ricerche 
dopodiché il download avviene tra client. Per 
BitTorrent occorre scaricare via Internet un file 
torrent — da aprire con apposito client come 
Ktorrent — nel quale vengono mantenute alcune 
informazioni come numero e dimensione dei 
chunk e indirizzo del Tracker un nodo, questo, 
che mantiene la lista dei nodi che possiedono i 
chunk (anche se incompleti) di quel determinato 
file. Se un nodo ha il file completo può assumere 
le funzioni di seed ovvero sorgente primaria del 
file. Si provi a scaricare la ISO di una distribu- 
zione via Torrent invece che FTP per notare una 
maggiore velocità media nel download. 

Nelle reti P2P pure possiamo inserire Gnutella 
e Freenet e rappresentarle come in Figura 2, 
con l’accortezza, però, che esistono alcuni di- 
stinguo. La rete Freenet (https://freenetproject. 
org’) è nata per superare le censure degli Stati 
pertanto deve garantire anonimato e sicurezza. 
Per entrambe non esiste un sistema centrale ed 
ogni nodo ha la doppia funzione di client e server 
per le ricerche che vengono inoltrate a tutti i nodi 
con i quali si è in contatto. Una simile struttura 
genera molto traffico e risulta essere più lenta 
delle cugine già viste. In tutti questi modelli di 
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rete ad una cosa non abbiamo accennato: chi 
ci garantisce sulla originalità del file e/o dei 
suoi “frammenti”? Ogni singolo frammento/ 
file dovrà essere assolutamente conforme al file 
originale che rappresenta, o parte di esso, senza 
nulla di diverso! Si dovrà garantirne l’integri- 
tà per evitare corruzioni volontarie o indotte 
da vari motivi: per ottenere questo risultato si 
tiene traccia del valore di hash di ogni singolo 
chunk/file. 


VALORI DI HASH 


Le funzioni di hash sono note anche come 
funzioni ad una via o hash crittografici. 
Immaginiamo una scatola nera (una funzio- 
ne matematica, un algoritmo) che prenda 
in ingresso un file F e generi in uscita una 
stringa alfanumerica S di dimensione fissa 
detta checksum, somma o valore hash di F. 
Teoricamente una stringa univoca generata 
dando in pasto alla funzione matematica il 
file F facendone così una sorta di impronta 
digitale. Qualsiasi altro file che si differenzi 
da F anche per una sola virgola dovrà fornire 
un hash completamente differente. In pratica 
dovrà essere difficile (idealmente impossibile) 
trovare due file F1 e F2 diversi per i quali si 
abbia lo stesso valore di hash: questa proprietà 
è detta resistenza alle collisioni. 
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Versione 


: occupa 4 byte e riporta la versione del protocollo utilizzata per creare il blocco 


Timestamp : occupa 4 byte e riporta quando è stato creato il blocco attuale in secondi trascorsi dal 1° Gennaio 1970 


nBits 
Nonce 


— Contatore Transazioni 


"Blocco i-1 


® Fig. 3 » Struttura della blockchain 


ALGORITMI DI HASH 
Le funzioni più utilizzate 
L'algoritmo di hash MD5 riportato 
nell'articolo come esempio per 

le ISO delle distribuzioni, è una 
funzione a una via datata 1991 e 
produce in uscita un valore a 128 
bit. Il problema è che nel 2004 è sta- 
ta dimostrata la non resistenza alle 
collisioni, ovvero due file diversi 
forniscono lo stesso valore di hash 
(una demo al seguente indirizzo 
https://www.mscs.dal.ca/-selinger/ 
mdScollision/ e questo dal punto di 
vista della sicurezza è inaccetta- 
bile. Oggi gli algoritmi di hash più 
utilizzati sono il RIPMED-160 (RACE 
Integrity Primitives Evaluation Mes- 
sage Digest) che fornisce un hash a 
160 bit e diverse versioni dello SHA 
(Secure Hash Algoritm): abbando- 
nata la versione SHA-1 poiché ne è 
stata dimostrata la non resistenza 
alle collisioni (The first collision for 
full SHA-1, paper in allegato), oggi 
le versioni utilizzate sono SHA-256, 
SHA-384 e SHA-512 che producono 
un digest - valore di hash - pari al 
numero della sigla. La blockchain 
utilizza SHA-256 quindi con digest di 
32byte [32*8=256bit). 
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: occupa 4 byte, una rappresentazione numerica della difficoltà del risultato 
: occupa 4 byte, indica una sorta di contatore utilizzato per l’algoritmo di consenso 


Contatore Transazioni _ 


Blocco i 


Altra caratteristica — detta preimage resistence 
— è l'impossibilità di risalire al file F una volta 
noto il suo valore di hash, da qui la definizione 
di funzioni ad una via. Potrebbe sembrare tutto 
così astruso, ma è più facile di quanto si possa 
credere. Quanti di noi scaricando la ISO di una 
distribuzione hanno incontrato un file avente il 
medesimo nome ma con estensione mds (leg- 
gere il Box “Algoritmi di Hash”)? Orbene il 
file md5 contiene il valore hash dell'immagine 
ISO. Come facciamo a ottenere l’hash md5 di 
un file? Utilizzando il comando mdSsum no- 
me_file. Se applichiamo il comando a un file di 
testo otterremo un valore hash. Se ora proviamo 
a modificare anche una virgola e a generare 
di nuovo il valore hash noteremo come esso 
sia completamente differente dal precedente, 
caratteristica meglio nota come effetto valanga. 


LEGGIAMO LE “CARTE”! 


Nel definire la blockchain si è accennato a un 
registro o libro mastro (ledger). Se “aprissi- 
mo” tale registro troveremo un certo numero di 
blocchi (una lista concatenata) laddove ognuno 
blocco oltre ai dati è caratterizzato da almeno 
un header (testata, 80 byte) contenente alcune 
meta-informazioni compreso l’hash del blocco 
precedente tranne che per il primo blocco che 
inizierà la catena, detto blocco di genesi. I dati 
possono rappresentare qualsiasi cosa: coordinate 
GPS, valori da sensori, dati medici, tracciabilità 
di prodotti alimentari e non ecc. Ogni blocco ha 
la propria impronta digitale definita dal valore di 


__Contatore Transazioni 


- Blocco i+1 Da 


hash ricavato prendendo tutti i campi dell’header 
(Figura 3) e applicando due volte la funzione di 
hash (SHA-256): il risultato viene riorganizzato 
nel formato little-andian (byte meno significativi 
aindirizzi più bassi). Altro campo fondamentale 
è il valore hash del blocco precedente e ciò che 
permette di garantire l’integrità della catena fino 
al blocco di genesi. Infatti, se i dati nel blocco “i” 
per qualsiasi motivo vengono alterati il valore 
di hash del nuovo header sarà diverso. Questo 
significa che il valore di hash del blocco “i” non 
corrisponde più a quello che riporta il blocco 
“i+1” nel campo “hash del blocco precedente” 
(Figura 3) e pertanto la modifica può essere 
facilmente rilevata, segnalata ed eventualmente 
rifiutata. Siccome il ledger memorizza tutte le 
transazioni ed è distribuito a sua volta sui nodi 
della rete P2P, ecco che i dati sulla blockchain 
non possono essere modificati retroattivamente 
senza l'alterazione di tutti i blocchi appartenenti 
a quella catena determinando così la caratteri- 
stica immutabilità della Blockchain. 

Abbiamo accennato che il contenuto del blocco è 
sostanzialmente frutto di transazioni il cui scopo 
principale è quello di trasferire la proprietà di un 
bene (e.g. specifiche informazioni, bitcoin ecc) 
da un nodo della rete (persona fisica, azienda 0 
altro) ad un altro nodo della rete senza necessità 
di convalida da parte di terzi (ente governativo, 
autorità certificata, controllore esterno ecc). Il 
massimo numero di transazioni che un blocco 
può contenere dipende dalla dimensione del 
blocco e della singola transazione. Ma cos’è 
una transazione? Esattamente ciò che intendia- 


mo nella vita di tutti i giorni, uno scambio, ma 
da astrarre/riportare nel mondo digitale della 
blockchain. Se Alice vuole vendere un prodotto 
alimentare a Roberto questi due soggetti dovran- 
no fare una transazione su alcuni aspetti come 
provenienza, prezzo, peso e tipo di prodotto. 
L’autenticazione delle transazioni viene effettua- 
ta utilizzando il meccanismo della crittografia 
asimmetrica nota come crittografia a coppia 
di chiavi (pubblica e privata) di cui ci siamo 
già occupati in passato e contiamo di ritornare 
in un prossimo numero. Ogni utente che vuole 
entrare nella blockchain dovrà avere una chiave 
pubblica e una privata, con la chiave privata si 
dovranno firmare le proprie transazioni (cifrando 
di fatto i dati) e solo a questo punto la transa- 
zione firmata con all’interno le informazioni 
di cui sopra verrà inviata a tutta la rete. Da un 
altro nodo della rete — in qualunque parte della 
Terra — Roberto attraverso la chiave pubblica 
di Alice ne verifica il contenuto. L'algoritmo 
utilizzato nella blockchain per la firma digitale 
è ECDSA (Elliptic Curve Digital Signature 
Algorithm). La transazione tra i due soggetti è 
così terminata e portata all’attenzione dell’intera 
rete tra i partecipanti alla Blockchain al fine di 
essere verificata e creare un nuovo blocco da 
“incatenare”. L'accettazione o meno del nuovo 
blocco è frutto della risoluzione di un problema 
che va sotto il nome di Problema dei generali 
Bizantini (The Byzantine Generals Problem): 


ogni transazione scritta deve essere votata/vali- 
data da una minima maggioranza del totale dei 
nodi. Se il numero di “validatori”’ è inferiore al 
minimo la transazione viene scartata dal sistema 
viceversa le informazioni sono considerate cor- 
rette e la transazione viene validata e autorizzata 
la creazione di un nuovo blocco con tutte le 
transazioni che in esso afferiscono diventando 
così il riferimento permanente, immutabile e 
immodificabile di quella specifica transazione 
tra Alice e Roberto sul prodotto alimentare X. 
La dinamica fa uso di un algoritmo di consenso 
che determina le regole in base alle quali i nodi 
avranno il diritto di scrivere nella blockchain: 
il più utilizzato (e.g. nel Bitcoin) risale al 1993 
ed è il PoW (Proof of Work, noto anche con 
il nome di funzione costo CPU) anche se non 
ecologicamente sostenibile per il futuro vista 
la sua sempre più alta necessità di potenza di 
calcolo. Alternative che riduce parzialmente il 
consumo di energia elettrica è il PoS (Proof of 
Stake) o il DPoS (Delegated Proof of Stake). 
Un ridotto consumo di energia elettrica con 
risoluzione del problema dei generali Bizantini 
può essere ottenuto anche con l'algoritmo di 
consenso PBFT (Practical Byzantine Fault 
Tolerance). Il valore di hash del blocco dipen- 
de — come già accennato — anche dal campo 
Merkle Root presente nell’header. Noto come 
albero di Merkle (Merkle Tree, dal nome di 
chi lo propose nel 1979) è un albero il cui valore 


Root Hash Merkle Tree — 32 byte 
riportato nell’header del blocco 
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® Fig. 4 » Struttura dell'albero di Merkle 
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QUALCHE LIBRO 
DITESTO —. 

Dove approfondire gli argomenti 
Vista la complessità dell'argo- 
mento per poter approfondire gli 
argomenti solamente introdotti 
nell'articolo, d'obbligo è la lettura 
di testi dedicati. Nel seguito ripor- 
teremo solo i testi in Italiano. Per 
iniziare suggeriamo Dagli smart 
contract alle ICO: La blockchain non 
dorme mai di Davide Carboni edito 
da Indipendently published. Un po' 
più complesso Blockchain. Guida 
all'ecosistema. Tecnologia, busi- 
ness, società di Nicola Attico edito 
da Guerini NEXT. Approfondimenti 
con Mastering Bitcoin di Andreas 
Antonopoulos edito da O'Reilly e del 
quale si trova anche la versione in 
Italiano. a cura di Riccardo Masut- 
ti. nelle librerie e negozi on-line. 
Suggerito anche Crypto economy. 
Bitcoin, blockchain, ICO: cosa sono 
e come funzionano le nuove valute 
digitali di Roberto Gorini edito da 
ROI Edizioni. Infine utile lettura da 
non perdere nel libro Blockchain. 
Cyberwar e strumenti di intelligen- 
ce di Marilù Pagano edito da Stampa 
Alternativa. 


delle foglie altro non è che il valore hash delle 
foglie figlio, in sostanza l’hash di un valore di 
hash, nello specifico di opportune transazioni. 
La Figura 4 ne illustra la struttura. 


CONCLUSIONI 


In queste 4 pagine abbiamo potuto solo ripor- 
tare la dinamica di massima sul funzionamento 
della Blockchain insieme alle componenti che 
si celano dietro. Per una intera trattazione oc- 
correrebbero centinaia di pagine con annessi 
capitoli ognuno dei quali possa approfondire 
con più o meno rigoroso dettaglio — a seconda 
degli obiettivi di ognuno di noi — i singoli aspetti 
come la crittografia, l’algoritmo di consenso, la 
teoria dei giochi ecc. Lo scopo di una rivista è 
incuriosire il lettore verso un approfondimento 
in tal senso e per farlo non possiamo esimerci 
nel riportare, agli interessati, qualche libro di 
testo nel box omonimo. 
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inora, abbiamo descritto nel dettaglio 

il meccanismo del subnetting, il mec- 

canismo utilizzato per dividere una 
unica rete in più reti separate, in modo da 
usare in modo più efficiente il range di indi- 
rizzi disponibile per un ufficio. Questo con- 
cetto apre la strada a un altro: il supernetting, 
dalla funzione diametralmente opposta. Se nel 
subnetting abbiamo una rete troppo grande per 
i nostri gusti e la dividiamo in tante sottoreti, 
nel supernetting uniamo diverse reti “piccole” 
per creare una unica grande rete. Perché questo 
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IL CORSO COMPLET 


Continuiamo a preparaci per l'esame Cisco CCNA: 
in questo numero parliamo del funzionamento 
degli inter networking devices, dagli hub fino 

ai router, scoprendo le differenze tra dispositivi 


apparentemente simili 


è importante? Per il routing. Quando un com- 
puter deve contattarne un altro, che si trova in 
un’altra rete, ha bisogno di instradare corret- 
tamente il traffico dati, in modo che possa pas- 
sare da un computer all’altro. Ciò implica tre 
cose. La prima è che per poter comunicare, due 
computer devono essere collegati da interme- 
diari, se due com puter non hanno intermediari 
in comune non potranno comunicare. La sec- 
onda è che è necessario avere delle tabelle che 
contengano gli indirizzi dei vari intermediari 
da contattare per raggiungere un certo comput- 
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er. La terza è che (siccome esistono miliardi di 
computer su internet) queste tabelle rischiano 
di essere enormi, e la procedura di instrada- 
mento del traffico rischia di durare tantissimo, 
se non troviamo dei metodi per semplificare la 
cosa. Il supernetting è uno di questi. 


DAL SUBNETTING 
AL SUPERNETTING 


Approfondiremo più avanti il protocollo 
di routing, ma basta pensare alle reti come 
all’invio di pacchetti tra due città diverse. 
Ovviamente, all’interno di ogni città ci sono 
strade (le reti, nella metafora) e numeri civici 
(i computer), ma è ovvio che il postino del 
nostro paese non possa conoscere la strada es- 
atta per portare il pacchetto in un’altra città. 
Quello che possiamo fare è semplificare il tut- 
to usando una indicazione di massima per la 
zona, e lasciare che poi sia il responsabile del 
paese di destinazione a continuare la consegna 
del pacchetto. Come indicazione di massima 
potremmo usare il nome della città, ma con 
città molto piccole questo sistema è comunque 
poco efficiente, perché costringerebbe l’ufficio 
postale del mittente a avere una tabella con i 
nomi di tutti i paesi italiani, e sono tanti. Si può 
ragionare per macroaree, eventualmente fond- 
endo assieme i paesi più piccoli, usando il Co- 
dice di Avviamento Postale. In questo modo, 
l’ufficio postale mittente deve avere solo una 
tabella con i CAP italiani, che sono più facili 
da registrare rispetto ai nomi dei paesi, e con- 
segnare il nostro pacchetto al responsabile del- 


MI Fig. 2 * Riconoscere i collision domain in una rete è semplice, basta sapere quali dispositivi contiene 


la consegna per quel codice. Il supernetting è 
proprio questo: riunire un gran numero di pic- 
cole reti sotto un unico codice, così tutti i pac- 
chetti destinati a una qualsiasi di quelle piccole 
reti dovrà solo essere inviato verso quell’unico 
codice, e sarà il responsabile di quella supernet 
a smistare correttamente i pacchetti. Invece di 
dover distribuire una tabella enorme, con tutti 
gli indirizzi IP possibili, basta distribuire la ta- 
bella con i codici delle supernet. Per spiegare 
meglio come la cosa funziona, immaginiamo 
di essere clienti Tim, e dover contattare un 
utente che ha Fastweb come proprio ISP (pro- 
vider internet). Noi conosciamo l’indirizzo IP 
del nostro interlocutore, e sappiamo che è cli- 

| ente Fastweb. Quindi non dobbiamo fare altro 
che cercare nella tabella di routing l’indirizzo 
della supernet di Fastweb e inviare i pacchetti 
lì, lasciando che poi sia l’ISP che gestisce 
quella supernet a raggiungere il reale destina- 
tario. Siccome gli ISP sono pochi, rispetto ai 
clienti, le tabelle si riducono molto di volume. 
Ogni ISP ha una o più supernet, e questo per- 
mette di eseguire il routing molto rapidamente. 
Ragioniamo dal punto di vista dell’ISP: il pro- 
vider acquista dall’ICANN (l’ente che regola 
internet) queste reti 


172 
172 
172 
172 
172 


.168.196.0/24 
.168.197.0/24 
.168.198.0/24 
.168.199.0/24 
.168.200.0/24 


172.168.201.0/24 
172.168.204.0/24 
172.168.206.0/24 


Dalla lezione sul subnetting sappiamo che si 
tratta di indirizzi di classe B, e infatti la vari- 
azione avviene nel terzo ottetto. In particolare, 
se ragioniamo in formato binario ci accorgia- 
mo subito che i vari terzi ottetti di ogni rete 
sono rispettivamente 


11000100 
11000101 
11000110 
11000111 
11001000 
11001100 
11001110 


Le prime quattro cifre decimali non cambiano 
mai, quindi la maschera di sottorete verrà cal- 
colata usando per il terzo ottetto solo queste 
cifre invariate. Il numero binario 11000000 è 
rappresentato in forma decimale come 192. In 
altre parole, tutte queste reti possono essere 
raggruppate con l’indirizzo supernet 


172.168.192.0/20 


Perché /20? Perché le varie reti sarebbero /24, 
ma per rappresentarle in gruppo bisogna tene- 
re 4 bit fissi e 4 liberi nel terzo ottetto. Quindi, 
i bit che rimangono invariati non sono più 24 


ma solo 20. Ovviamente, questo gruppo di reti 
racchiude molte reti in più rispetto alle sette 
che abbiamo presentato, fondamentalmente si 
indicano tutte le reti da 


172.168.192.0/24 
fino a 
172.168.207.0/24 


Cioè ben 16 reti. Naturalmente questo sem- 
plifica molto il routing, perché 1’ ICANN deve 
solo concedere queste sedici reti contigue allo 
stesso ISP, e poi sarà possibile usare l’indirizzo 
/20 per instradare il traffico di ciascuna di 
queste reti. 


SWITCH E HUB: 
LA DIFFERENZA 


Abbiamo accennato più volte al routing, ma ne 
parleremo in dettaglio più avanti. Ora ci con- 
centriamo su un altro argomento: i dispositivi 
di rete locale, cioè principalmente switch e 
hub (per la rete cablata). In linea di massima 
tutti hanno sentito parlare degli switch, e bu- 
ona parte delle persone sa anche che si utiliz- 
zando semplicemente per “moltiplicare” i cavi 
ethernet disponibili: se si ha un solo cavo e 
bisogna collegarvi 4 computer, basta usare uno 
switch. Oppure un hub. Qual è la differenza? 
Entrambe sono fondamentalmente della sca- 
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tole con una porta ethernet di uplink (a cui va 
connesso il cavo che porta il segnale, per es- 
empio proveniente da un router) e molte porte 
ethernet di downlink (a cui vanno connessi 
i vari computer). La differenza è che gli hub 
non sono “coscienti” di ciò che fanno, mentre 
gli switch sì: uno switch sa quale computer è 
collegato a una determinata porta. Si tratta di 
una differenza importante, perché un hub non 
fa altro che prendere i pacchetti che riceve e 
inviarli a tutte le porte di downlink, lasciando 
che siano quindi poi i dispositivi che li ricevo- 
no a cestinare i pacchetti che erano destinati a 
qualcun altro. Si comporta come un semplice 
ripetitore, un repeater. Un hub con quattro 
porte di downlink che riceve un pacchetto di 
dati destinati al computer della porta 1 copia 
le informazioni e le invia a tutte e quattro le 
porte. Questo perché l’hub non dispone di una 
tabella degli indirizzi MAC, cosa che invece 
uno switch tiene, quindi non sa quale sia la 
porta a cui è connesso un determinato com- 
puter. Inoltre, un hub ha soltanto un collision 
domain. Un collision domain è un concetto 
legato al livello datalink, e può essere im- 
maginato come lo spazio in cui si muovono le 
informazioni: se c’è poco spazio per tanti in- 
terlocutori, ci sarà una collisione. Banalmente, 
esistendo un unico collision domain significa 
che se due dispositivi connessi a un hub stanno 
parlando tra loro non c’è più spazio per altre 
informazioni: se un terzo dispositivo proverà 
a inviare dati, tutte le informazioni risulter- 
anno danneggiate (perché i segnali si sovrap- 
pongono). Anche i dati dei primi due saranno 
corrotti, e tutte le trasmissioni dovranno essere 
ripetute: il sistema prevede un tempo di attesa 
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Mi Fig. 3 e Un router è in grado di far comunicare due reti diverse 


casuale per ogni dispositivo prima di inviare 
nuovamente i dati, così si spera che le varie 
comunicazioni non si sovrappongano più. 

Uno switch è invece in grado di separare le co- 
municazioni in più collision domain, e questo 
rende possibile le comunicazione di tutti i 
dispositivi ad esso connessi contemporanea- 
mente. Questa caratteristica permette allo 
switch un full duplex del segnale (come in un 
telefono elettrico), perché con ogni disposi- 
tivo può contemporaneamente inviare e rice- 
vere dati, mentre un hub può ricevere dati da 
altri dispositivi soltanto dopo avere terminato 
l’invio da parte propria e viceversa. Nell’hub, 


insomma, è possibile usare un solo canale di 
comunicazione per volta (half-duplex, come 
in un telefono fatto con i bicchieri di plastica). 
Per questa differenza si fa riferimento alle 
reti che usano soltanto switch come Fully 
Switched Network, o semplicemente con 
l’aggettivo switched. In italiano spesso si 
traduce come “rete commutata”, ma ormai il 
termine inglese è diventato di uso comune an- 
che nel nostro paese. Una rete switched è più 
sicura e veloce di una non switched, perché 
fanno arrivare le informazioni direttamente 
al destinatario interessando il numero minore 
di dispositivi possibile. A_ questo proposito, 


MAN IN THE MIDDLE CON L'ARP SPOOFING 


Un pirata può intercettare il 
traffico di rete eseguendo questi 
tre passaggi: 


* ARP cache poisoning: invio di 
false risposte ARP al router 
gateway/ed al dispositivo vit- 
tima 

.* Hijacking ARP: dirottamento 
dei pacchetti inviati dal router 
siano verso la vittima e vice- 
versa, così nessuno si accor- 
gerà di niente 


* spoofing: camuffamento 


ove 
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dell'origine dei pacchetti di 


modo che la vittima sia davve-. 


ro convinta di ricevere i pac- 
chetti dal router 


L'attacco MITM ARP viene lan- 
ciato solitamente lanciato con 
un programma come nemesis, 
{https://kalilinuxtutorials.com/ 
nemesis-command-line-network- 
packet) con un comando del 


genere: 


dove 192.168.1.1 e MAC1 sono 
rispettivamente l'IP ed il MAC 
del gateway, mentre 192.168.1.3 
e MAC2 sono IP e MAC della vit- 
tima. Ovviamente, eth0 è l'inter- 
faccia con la quale l'aggressore 
è connesso alla rete. Solitamen- 
te, la scheda di rete deve essere 


‘messa in modalità promiscua, 


col comando 


Che significa modalità promi- 
scua? 

Abbiamo detto che i pacchet- 
ti broadcast vengono inoltrati 
a tutti i computer, e si lascia a 
ciascun dispositivo il compito di 
scartare i pacchetti non desti- 
nati a se. Ecco, in modalità pro- 
miscua il dispositivo non scarta 
nessun pacchetto. 


notiamo che una rete WiFi è una rete non 
switched, perché le informazioni vengono dif- 
fuse di fatto a tutti i computer: è compito di 
ogni computer leggere solo le proprie. Esisto- 
no anche i bridge, che hanno caratteristiche 
simili a quelle degli switch, con la possibilità 
di separare i collision domain per ciascun 
dispositivo, ma hanno meno porte fisiche 
e sono usati più che altro per unire due reti 
diverse. Hanno il fondamentale vantaggio di 
essere più economici degli switch, per alcune 
applicazioni. 


ARRIVIAMO AL ROUTER 


Un hub ha anche un solo broadcast domain, 
ma così è anche per lo switch (di solito, ma 
non sempre). Un broadcast domain è l'insieme 
di computer che possono scambiarsi dati a liv- 
ello datalink, senza alcun bisogno di risalire al 
livello di rete per poter comunicare. In altre pa- 
role, sono tutti i computer che possono essere 
raggiunti semplicemente conoscendo il loro 
indirizzo MAC, senza bisogno dell’indirizzo 
IP. Quindi, sono tutti i computer di una rete 
locale: in approssimazione, si può dire che il 
broadcast domain è una rete locale (sia essa 
LAN cablata o WLAN wireless). Il dispositivo 
responsabile del broadcast domain è il router. 
Un router è ovviamente un dispositivo cosci- 
ente, sa sempre quale dispositivo (identificato 
dall’indirizzo MAC) è connesso a una deter- 
minata porta. Ed è anche in grado di avere 
molteplici collision domain e diversi broad- 
cast domain. Questo è importante perché, po- 
tendo lavorare con diversi broadcast domain, 
significa che questo dispositivo può mettere 
in comunicazione due reti diverse. È in questo 
modo che il nostro router può mettere in co- 

municazione la rete locale con la WAN, cioè 
| internet. Ovviamente si tratta di reti diverse e 
due dispositivi di due reti distinte non possono 
comunicare tra loro a meno che non vi sia un 
intermediario. Per raggiungere altri broadcast 
domain bisogna passare tramite il gateway 
(che in genere è proprio router). Come si fa 
a sapere se due computer fanno parte dello 
stesso broadcast domain? Basta guardare la 
maschera di sottorete. Immaginiamo di avere 
una classica rete locale di questo tipo: 


192.168.1.0/24 


e un modem che è collegato a internet, quin- 
di ci offre l’accesso per esempio al server di 
google.com. Se provassimo a collegare di- 
rettamente il modem a uno switch o peggio 


ancora un hub non potremmo comunque con- 
netterci. Perché? Perché gli indirizzi di inter- 
net sono al fuori della nostra maschera di sot- 
torete. E quando cerchiamo un indirizzo che 
non fa parte della nostra rete, la richiesta viene 
inviata al gateway. Quindi, per poter accedere 
a internet, il dispositivo che ci connette a in- 
ternet (il modem) deve essere collegato a un 
router, il quale agisce da gateway e ci apre la 
strada da e verso internet. 

Ovviamente, all’interno della nostra rete sia- 
mo dentro il nostro broadcast domain, quindi 
possiamo trovare i computer in base al loro 
indirizzo MAC, ma su internet siamo al di 
fuori del broadcast domain del nostro comput- 
er, quindi possiamo accedere ai computer di 
internet solo tramite il loro indirizzo IP, dob- 
biamo salire di un livello nel modello TCP/IP. 


ARP: LEI NON SA 
CHI SONO 10 


Ci si potrebbe chiedere: ma se fino a poco tem- 
po fa stavamo parlando solo di indirizzi MAC 
(livello datalink), perché improvvisamente tiri- 
amo in ballo le subnet mask che sono relative 
agli indirizzi IP (livello di rete)? È perché in re- 
altà anche gli indirizzi IP sono importanti, vis- 
to che vengono assegnati a ogni dispositivo (in 
modo statico o dinamico) e collegati ai MAC. 
In altre parole, IP e MAC fanno coppia, per- 
ché i router lavorano su indirizzi IP, mentre gli 
switch sui MAC, e per passare le informazioni 
all’interno della rete bisogna avere entrambe 
le informazioni. Quando due dispositivi co- 
municano (per esempio il nostro pc ed il rout- 
er) avviene uno scambio di richieste e risposte 
ARP (Address Resolution Protocol), tramite 
il quale ogni dispositivo sa con chi ha a che 


192.168.1.1 
00:00:00:00:00:AA 


Gateway 


192.168.1.3 = 00:00:00:00:00:CC 


fare. Per esempio il sistema A ha un indirizzo 
MAC 00:00:00:00:00:AA ed IP 192.168.1.3, 
mentre l’altro è 00:00:00:00:00:BB con IP 
192.168.1.3. Quando i due sistemi comincia- 
no a comunicare il computer A invierà a B la 
seguente richiesta ARP: “chi è 192.168.1.5?”. 
Edil secondo sistema risponderà “192.168.1.5 
è 00:00:00:00:00:BB”.-Ovviamente B farà 
lo stesso con l’altro computer, ed entrambi 
registreranno le risposte ricevute in una cache 
(chiamata ARP cache). In questo modo, ogni 
volta che il computer A vorrà parlare con 
192.168.1.5 andrà a leggere la propria ARP 
cache e vedrà che deve contattare il dispositivo 
00:00:00:00:00:BB. Il sistema dunque per- 
mette di identificare i dispositivi che devono 
comunicare in modo molto preciso e semplice. 
Uno switch, nei primi secondi in cui viene ac- 
ceso, controlla l’assegnazione degli indirizzi 
MAC e in teoria dirige il traffico destinato a 
un certo MAC soltanto alla porta a cui esso è 
connesso. Ma le richieste ARP vengono inol- 
trate comunque a tutti, perché lo switch non 
si preoccupa degli indirizzi IP, quindi non può 
sapere quale IP corrisponda al dispositivo col- 
legato a una delle sue porte ethernet. Le richi- 
este ARP sono il classico esempio di traffico 
broadcast, perché non sono dati degli utenti 
ma servono a mantenere attiva la rete. 

Abbiamo detto che il protocollo ARP permette 
ai dispositivi di riconoscersi a vicenda in 
modo semplice. Ma c’è un piccolo problema: 
un dispositivo accetterà una risposta ARP an- 
che se non ha fatto alcuna domanda. Quindi, 
mentre due computer stanno comunicando, 
un malintenzionato potrebbe inviare a uno dei 
due una risposta ARP appositamente costruita 
per sostituirsi al reale interlocutore, e quindi 
ricevere al posto suo tutte le informazioni che 


192.168.1.3 
00:00:00:00:00:BB 


Vittima 


192.168.1.1 = 00:00:00:00:00:CC 


192.168.1.255 
00:00:00:00:00:CC 
Cracker 


192.168.1.1 = 00:00:00:00:00:AA 
192.168.1.3 = 00:00:00:00:00:BB 


II Fig. 4 * Le richieste ARP possono essere dirottate per diventare MITM 
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l’altro sistema sta inviando. Questa debolezza 
può essere sfruttata per realizzare un attacco 
del tipo Man In The Middle. In poche parole, 
se i computer A e B stanno comunicando le- 
gittimamente, il malintenzionato C potreb- 
be mandare ad A la risposta “192.168.1.5 
è -00:00:00:00:00:CC” e a B la risposta 
“192.168.1.3 è 00:00:00:00:00:CC”. In ques- 
to modo, quando A vuole inviare informazioni 
a B in realtà farà pervenire i dati al computer 
C, il quale li girerà a B dopo averli letti nella 
loro interezza. Lo stesso avviene quando B 
vuole inviare qualcosa ad A, di modo che i 
due possano continuare a comunicare come se 
nulla sia cambiato. 


IL LATO HARDWARE 


Nei test Cisco si sente solitamente parlare di 
VLAN. Una VLAN è una rete locale virtuale. 


È un concetto simile a quello del subnetting: 
la LAN hardware è sempre la stessa, nel sen- 
so che tutti i dispositivi condividono la stessa 
infrastruttura hardware, sono connessi agli 
stessi switch e router. 

Tuttavia, alcuni dispositivi sono assegnati a 
una VLAN e altri a un’altra. Questo permette 
di avere due reti logicamente separate, che 
quindi devono essere trattate come reti dis- 
tinte (con broadcast domain diversi), anche 
se condividono la stessa struttura fisica. 
Fondamentalmente, una LAN non segmen- 
tata è comunque una VLAN, quindi si usa 
questa sempre dicitura, il numero minimo di 
VLANè 1. 

La differenza importante tra subnet e VLAN 
è che i computer di una subnet devono per 
forza appartenere alla stessa rete fisica, 
mentre quelli di una VLAN possono anche 
appartenere a reti fisiche distinte (ma colle- 


gate tramite routing). Inoltre, la VLAN offre 
all’amministratore di rete molto più controllo 
rispetto alla subnet, perché viene determinata 
nel router o switch, i singoli dispositivi non 
possono scegliere a quale VLAN appartenere. 
Ma la subnet ha il vantaggio di continuare a 
funzionare anche se altre subnet vanno giù. 
Una subnet è un concetto del livello di rete, 
mentre una VLAN è un concetto del livello 
datalink. Parlando del livello fisico, i cavi 
solitamente usati hanno il classico connettore 
RJ45 (anche noto come spinotto ethernet), 
dotato di 8 contatti. 

Il connettore viene solitamente crimpato con 
il metodo 568A. Esistono tre tipi di cavi: 
UTP, FTP e STP. Il cavo Unshielded Twisted 
Pair ha i fili intrecciati a due a due senza nes- 
sun tipo di schermatura. 

Il cavo FTP ha una schermatura che avvolge 
le quattro coppie assieme, mentre 1’STP 


I QUIZ PRESENTI IN QUESTE PAGINA SONO ISPIRATI 
ALLE REALI DOMANDE CHE SI POSSONO TROVARE 
NELL'ESAME CISCO 200-125 
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ha una schermatura per ciascuna delle cop- 
pie, più una complessiva di tutte le coppie 
assieme. La schermatura, fatta con un foglio 
di alluminio, protegge dalle interferenze, ma 
tutti i tre tipi di cavi hanno comunque una 
portata massima di 100 metri (dopodiché 
serve un router o hub per ripetere il segnale). 
Una volta, collegando due switch o router 
tra loro si usava un cavo incrociato, con al- 
cuni doppini invertiti di posto, ma oggi tutti 
i principali dispositivi riconoscono automati- 
camente il tipo di cavo. 

Chiudiamo con un dettaglio interessante: su 
un cavo ethernet vi è ridondanza, normal- 
mente collegandolo a un PC viene usata solo 
metà degli 8 fili di rame. Usando uno split- 
ter è quindi possibile far correre sullo stesso 
cavo il segnale di due dispositivi diversi, in 
situazioni di lunga distanza dove mettere due 
cavi sarebbe troppo complicato o costoso. 


EIA/TIA-568A 


Fig. 5 * Questo è il modo più comune per crimpare un cavo ethernet 
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UNA STAZIONE 
METEO ECONOMICA 


Arduino ci permette di realizzare una completa stazione meteo, che include 
un pluviometro, con una spesa minima e, sfruttando anche un Raspberry, 
possiamo avere una interfaccia web comoda da consultare 


no degli oggetti “intelligenti” che 
è arrivato per primo nelle nostre 
case, anni fa, è la stazione meteo. 


Naturalmente, la maggioranza delle “weather 
station” (perché tutto detto in inglese sembra 
più professionale) disponibili sul mercato offre 
in realtà ben poche informazioni: temperatura 
e umidità, ma niente di più. Chi è appassionato 
di meteorologia, o magari vuole tenere traccia 
delle condizioni meteo per organizzare meglio 
il proprio orticello domestico, ha bisogno di 
altre informazioni. In particolare la pressione e, 
soprattutto, la pioggia. La quantità di pioggia è 
una informazione molto importante per diversi 
tipi di studi, amatoriali o professionali, ma i 
pluviometri in genere costano parecchio e non 
fanno parte delle stazioni meteo più comuni. È 


per questo motivo che il Gruppo Speleologico 
Talpe del Carso ha sviluppato una stazione 
meteo basata su Arduino che include anche 
un pluviometro. Per la ricerca speleologica, 
infatti, è importante sapere quanta acqua 
penetra nel terreno in seguito alla pioggia, in 
modo da studiare poi i tempi di propagazione 
dell’acqua nelle grotte (e distinguere l’acqua 
piovana da quella dei fiumi sotterranei). Per 
questo articolo ci basiamo proprio su questo 
progetto, il cui risultato si può vedere sul 
sito http://bit.ly/meteoraspberry. Il progetto 
è di fatto diviso su tre dispositivi diversi: la 
sfazione meteo vera e propria è realizzata con 
un Arduino Uno e un ethernet shield. Questo 
comunica con un server web presente su un 
secondo dispositivo, un RaspberryPi, che 


Arduino Uno e l’ethernet shield 


Il sensore BMP va connesso a precisi pin analogici, tipici di Arduino Uno 


SE TENIZIANSIZIA Morar morosa 


SHIELD ETHERNET 


01 Per cominciare, abbiamo bisogno di un Arduino Uno e 

di un Ethernet Shield. Volendo, si potrebbe usare anche 

un Arduino MEGA, ma bisogna fare attenzione: alcuni pin sono di- 
versi, quindi quelli che presentiamo qui valgono per l’Uno. 


SONS TE RE RTRT TE ap 


fa parte della stessa rete locale. Il vantaggio 
di questo meccanismo è che nessuno accede 
mai a Arduino: è l’Arduino a inviare una 
richiesta HTTP al Raspberry inviandogli i dati 
periodicamente. Questo evita un sovraccarico 
di Arduino, che ha una potenza molto limitata. 
Il server web del Raspberry è sufficiente a 
memorizzare e visualizzare i dati per la rete 
locale, ma per condividere le informazioni 
con tutti il file con i dati viene inviato anche a 
un terzo dispositivo: un server web pubblico, 
noleggiato presso un gestore di hosting. Questo 
fa sì che la maggioranza degli utenti acceda al 
sever pubblico, e non al Raspberry, evitando 
quindi di mettere a rischio la sicurezza della 
rete locale. Naturalmente, se non si vogliono 
condividere i dati non c’è alcun bisogno di 


Hinoneiarizinnbiter— 


IL SENSORE BMP 


02 


Poi possiamo recuperare il sensore di pressione 
BMP085, collegando il pin VCC al pin 3.3V di Arduino. 
IL GND deve ovviamente andare al GND, mentre il pin SCL va con- 
nesso all'analogico 5 e l'SDA va collegato all'analogico 4. 


Collegare tutti i sensori 


Basta poco per collegare correttamente i sensori di umidità, temperatura, e pioggia 


L'IGROMETRO IL TERMOMETRO 

Il sensore DHT22 va connesso, per il suo segnale, al Il sensore DS18B20 va collegato ai soliti pin 5V e 

pin digitale 2 di Arduino. | pin 5V e GND devono es- GND di Arduino (solitamente i cavi rosso e nero del 
sere connessi ai corrispettivi pin di Arduino. Questo sensore sensore). Il terzo cavo, giallo di solito, rappresenta il segnale 
misura l'umidità, quindi è necessario posizionarlo in modo che è va connesso al pin 7 di Arduino. Tra il cavo giallo e rosso va 
sia a contatto con l’aria. messa una resistenza da 10kOhm. 
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PLUVIOMETRO 
Il sensore della pioggia ha un cavo che contiene 04 
due diversi fili elettrici, e funziona come un pul- 


POSIZIONAMENTO 
I cavi devono essere ben isolati con apposito nastro, 
per evitare che possano fare contatto inavvertitamente. 


sante. Quindi, il primo dei due cavi va collegato al pin 5V di L'imbuto del sensore per la pioggia deve essere fissato in modo 
Arduino, mentre il secondo va connesso sia al pin digitale che rimanga perfettamente orizzontale, così vi entrerà la giusta 
8 direttamente sia, tramite resistenza da 10kOhm, al GND. quantità di pioggia. 


© Now sicuro | wmeirasicitinevmeteo: 


questo terzo passaggio, il Raspbetry è più che 
sufficiente per l’accesso all’interno della rete 
domestica. 


IL CODICE PER ARDUINO soma 
Il codice (Attp:/bit.IyAmcodicemeteo) è stato scrit- 
to per funzionare su un Arduino Uno con Ethernet 
Shield, perché questa combinazione offre un buon 
rapporto tra il basso costo e la quantità di pin digi- 
tali e analogici disponibili. Il basso costo è ovvia- 
mente importante perché la stazione sarà sottopo- 
sta alla intemperie, e un fulmine può danneggiarla, 
quindi è importante riuscire a ricostruirla senza —@Fig.1L’interfatcia web mostra il grafico della temperatura 
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troppa spesa. Il codice è lungo, ma ne analizziamo 
le parti più importanti: 


byte mac[] = { OxDE, OxAD, OxBE, 
OXEF, OxFE, OxED }; 
IPAddress server(192,168,0,103); 
const char* host = "192.168.0.103"; 
unsigned long towait = (1000UL*60*10); 


Le prime informazioni da fornire sono l’indirizzo 
MAC della scheda ethernet di Arduino e l’indiriz- 
zo IP del Raspberry. 

Inoltre, bisogna stabilire quanto tempo debba 
passare tra una registrazione dei dati e l’altra: 


> Quanto ciè costato realizzare la stazione. 


meteo? Questa è la lista dei pezzi necessari, 
coni prezzi più bassi rilevati online: 
e Arduino UNO: 2,7 euro 
* Arduino Ethernet Shield: 5,8 euro 
* Sensore BMP 085 o BMP180: 0,7 euro 
e Sensore DHT22: 2,4 euro 
e Cavetti dupont: 0,9 euro 
e Sensore DS1820B: 0,8 euro 
® Arduino Rain Gauge: 15 euro 


LA LISTA DELLA SPESA 


IL totale ammonta a circa 29 euro, a a cui 


va aggiunto un RaspberryPi 3 (il cui kit 
completo costa 44 euro), recuperabile su 
AliExpress o Amazon come l'altro materiale 
elettrico se non l'avete già in casa. Si 


| possono anche aggiungere un router 


ethernet/wifi (29 euro) e un set di PoE 
Injector Splitter (9 euro in totale). 0 persino 
un modem router 4G, così da collegarsi alla 
rete anche in aperta campagna. 


Fissaggio e collegamenti di rete 


Connettiamo Arduino alla rete per leggere i risultati 


CAVO ETHERNET 


L'Arduino è ora un groviglio di cavi: si possono 
legare con delle fascette. L'ultimo cavo che bi- 
sogna collegare è quello ethernet: volendo, si può usa- 
re un modulo PoE splitter per recuperare l'energia dal 
cavo di rete [però a monte si deve avere un PoE injector]. 


ECCO IL ROUTER 


Il cavo di rete di Arduino va collegato, a monte, 
a un router o un adattatore: l'importante è ave- 
re una connessione WiFi per il Raspberry, e una via cavo 
per Arduino. Se si vuole alimentare Arduino dal cavo di 


rete, serve un PoE Injector. 
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UNA SCATOLA 


ventilazione. 


Cnn e SS SS LÌ 


IL RASPBERRY 
04 Infine, c'è bisogno del Raspberry, che funzionerà 
da server web: deve avere una connessione WiFi 
{o eventualmente ethernet se si ha almeno un hub o switch) 
sulla stessa rete locale di Arduino. Idealmente, dovrebbe 


L'insieme di Arduino e i vari sensori deve essere pro- 
tetto con una scatola: le scatole ermetiche per cibo 
funzionano bene, anche se al sole tendono a degradarsi. Basta 
fare un foro per il cavo di rete e un paio di fori per garantire la 


anche essere possibile la connessione a internet. 


siccome si deve scrivere in millisecondi si tratterà 
di un numero enorme (nell’esempio sono 10 
minuti), quindi il tipo di dato da usare è Unsigned 
Long. Anche il numero 1000 va specificato come 
UL, altrimenti la moltiplicazione darà come 
risultato un semplice numero intero, che ha un 
limite troppo basso. 


const float drop = (1.8/(11*5))*10; 


Bisogna poi definire l’entità di uno scatto del 
pluviometro. Il pluviometro non è altro che una 
bilancia con un piatto che si riempie man mano 
con la pioggia che cade e quando raggiunge 
un determinato peso (che corrisponde sempre 
a un certo volume di acqua) si abbassa 
svuotandosi e innescando un contatto tra i due 
fili del pluviometro. Praticamente, ogni volta 
che si raccoglie una certa quantità di acqua, 
il pluviometro fa un “click”, come fosse un 
pulsante. La domanda è: a quanti millimetri di 
pioggia corrisponde un click? Per eseguire la 
taratura basta prendere una siringa e svuotarla 
lentamente nel pluviometro, finché si sente 
il click del piatto della bilancia che cade. 
Misurando, grazie alla scala graduata della 
siringa, l’esatta quantità di acqua necessaria 
per il click possiamo fare il calcolo dell’altezza 
della pioggia in un metro quadro. Il calcolo 
è infatti semplice: ogni millilitro di acqua 
equivale a un centimetro cubico. Quindi, basta 
dividere i millilitri di acqua uscita dalla siringa 
per l’area (base per altezza, centimetri quadrati) 
del pluviometro per ottenere i centimetri di 
pioggia necessari a far scattare il pluviometro. 
Siccome ci interessano i millimetri, basta 
moltiplicare per 10. Si considerano i millimetri 
perché un millimetro di acqua per metro quadro 
di terreno equivale a un litro, quindi è facile 
capire che se il nostro pluviometro misura 2mm 
di pioggia significa che per ogni metro quadrato 
di terreno sono caduti 2 litri di pioggia. 


if (client.connect (server, 80)) { 


Quando il tempo da attendere per una lettura dei 
dati è passato, si apre una connessione al Raspber- 
ry sulla porta 80. 


client .println("GET /meteo/write- 
values.php?temperature=" + tval + 
"&pressure=" + pval + "&humidity=" 
+ hval + "&rain=" + rval + frval + 
"HTTP/1.1")); 

client.printlin("Host: " + 

String(host)); 
client.println("Connection: close"); 


client.println(); 
client.stop(); 


La richiesta HTTP GET viene confezionata 
contattando la pagina /meteo/write-values.php, 
fornendo tutti i dati come argomenti. La connes- 
sione viene chiusa al termine dell’invio, così al 
prossimo ciclo sarà possibile aprirne un’altra. 


L’UPLOAD VIA FTP 


Per caricare automaticamente il file con tutti 
i dati registrati dal Raspberry a un server web 
pubblico, basta ricorrere a FTP. Sul Raspberry, 
è sufficiente creare uno script (http:/bit.lyAIm- 
meteoftp) che esegue l’upload. I passi salienti 
sono questi: 


FOLDER='www.kraskikrti.net/meteo/! 
localtmp="/var/www/html/meteo/" 
cd $localtmp 

FILE="logs.txt" 


Per prima cosa vengono stabilite le cartelle: la car- 
tella remota e quella locale conterranno il file con 
i dati (logs.txt). 


ftp -n $HOST <<END SCRIPT 
quote USER SUSER 

quote PASS $PASSWD 

binary 

cd $FOLDER 

put "Slocaltmp$FILE" "SFILE" 
quit 

END_SCRIPT 


Viene poi lanciato il comando ftp con una serie di 
comandi: nome utente e password provengono da 
variabili, in particolare la password è memorizza- 
ta in un file che viene letto all’inizio dello script. 


® Fig. 2 * Il collegamento dei componenti 
è un po’ complicato, bisogna prestare 
attenzione a non confondere i pin 


Viene attivata la modalità binaria, così da non 
avere problemi con il trasferimento di file, si en- 
tra nella cartella remota e si invia (comando put) 
il file logs.txt. Lo script può essere eseguito au- 
tomaticamente ogni 10 minuti inserendo la riga: 


0,10,20,30,40,50 * * * * /home/pi/ 
meteo-to-ftp.sh 


nel file di Cron, con il comando crontab -e. 


IL CODICE PHP 


| Sul Raspberry è ospitato un server 
web Apache con una semplice 
pagina php, cioè Attps:/github.com/ 
zorbaproject/Meatloaf/blob/master/ 
meteo/write-values.php, che viene 
contattata da Arduino e memorizza 
i dati in un file di log. IL suo codice è 
estremamente semplice: 0 


$txt = date("Y-m-d H:i:s").",".$ 
temperature.",".Spressure.",".$h 


umidity.",".$rain.",".$firstrun; 
$myfile = file put contents ( 
'logs.txt', $txt.PHP_EOL, 

FILE APPEND | LOCK EX); 


I dati vengono prelevati tramite la 
richiesta HTTP GET, e viene creata 
una riga di valori separati da virgole, 
come in file CSV. La riga viene poi 
semplicemente aggiunta al file logs. 
txt, con un carattere di fine riga. 
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HACKING ZONE 


Su ogni numero 
trovi l’analisi 


dettagliata 

delle vulnerabilità 
più pericolose 

e le soluzioni 

più adatte 

per risolvere 

il problema 


Troppa accelerazione è pericolosa 


L'accelerazione 3D in VirtualBox può permettere a un programma malevolo eseguito 
nel sistema guest di ottenere privilegi di root sul sistema host, vanificando completamente 


la sicurezza della macchina virtuale 


na macchina virtuale dovrebbe essere il modo più sicuro 

per eseguire dei programmi: un ambiente completamente 

separato dal sistema host, con pochi punti di contatto e 
comunque facilmente disattivabili. E di solito lo è. Quello che succede 
nella macchina virtuale, rimane nella macchina virtuale. Naturalmente, 
se fosse sempre così non ne staremmo parlando. Ci sono stati 
alcuni casi in cui, a causa di bug nell’implementazione dei sistemi di 
virtualizzazione, è stato possibile per dei malintenzionati uscire dalla 
macchina virtuale e accedere al sistema host. Quando succede è un 
problema grave, perché al giorno d’oggi la maggioranza dei server 
(che per loro natura sono facilmente esposti su internet) è ospitato in 
macchine virtuali. Ogni server fisico ospita decine di server virtuali e, se 
è davvero possibile superare la barriera della virtualizzazione, significa 
che basta un solo server virtuale vulnerabile e l’intero server fisico, 
con tutti gli altri server virtuali, è compromesso. In altre parole, basta 
un problema nel server di un cliente e sono a rischio tutti i server di 
decine di altri clienti, i quali probabilmente non sapranno nemmeno 
quale rischio stanno correndo. E di server virtuali configurati male 
ce ne sono sempre, quindi è fondamentale almeno che gli errori di 
un amministratore di sistema non si ripercuotano su altri sistemisti 
“innocenti”. A volte, il problema nasce da un difetto a livello hardware: 
per esempio, il famoso bug Spectre che colpisce le principali CPU 
sul mercato può consentire una esposizione del sistema host, se si 
riesce a eseguire del codice su un sistema guest. Nella vulnerabilità 
scoperta di recente in Virtualbox, tuttavia, il problema sta nel modo in 
cui è progettata la macchina virtuale. 


L’ACCELERAZIONE 3D 


Virtualbox è molto utilizzato per la virtualizzazione desktop, quindi 
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MI Fig. 1 » It manuale di VirtualBox mette in guardia l'utente sui 
rischi dell’accelerazione 3D 


gli sviluppatori hanno ritenuto importante offrire la funzionalità di 
accelerazione 3D. Questa permette l’utilizzo di grafica tridimensionale 
avanzata anche dal sistema guest. In realtà si tratta di una funzionalità 
usata anche sui server, visto che ultimamente si ricerca molto l’uso 
del calcolo parallelo tramite GPU che supportino OpenCL o CUDA 
anche da macchine virtuali. Nel numero 191 abbiamo mostrato come 
sia possibile noleggiare un server di Google Compute Engine proprio 
per accedere da macchina virtuale a una scheda che supporta CUDA. 
Come funziona questo tipo di accelerazione, in VirtualBox? Viene 
utilizzato Chromium. No, non il browser di Google: Chromium è una 
libreria per il rendering distribuito di scene 3D usando OpenGL, e 
esiste da molto tempo prima del browser. VirtualBox apre un tunnel 
tra la macchina guest e il sistema host: quando il tunnel è attivo, la 
macchina guest non fa altro che inviare i dati nel tunnel, e la parte host 
si occupa di eseguire i calcoli con la GPU fornendo il risultato. Questo 


cl 


è possibile grazie a un apposito protocollo di comunicazione tra le due 
parti, che è chiamato HGCM. Questo meccanismo è sperimentale, e 
nelle impostazioni di Virtualbox viene specificato che si debba attivare 
questa funzionalità solo se si è coscienti di quello che si fa. E nel corso 
dell’ultimo anno ha ricevuto una serie di segnalazioni di potenziali 
vulnerabilità (quasi una decina d diversi bug, in totale). Parliamo di 
potenziali vulnerabilità perché un bug che non è exploitabile non è 
davvero un pericolo. E infatti nessuno era riuscito a sfruttare questo 
insieme di bug (che aveva preso il nome di Chromacity challenge). Fino 
a qualche settimana fa, quando uno sviluppatore ha scoperto di poter 
sfruttare un difetto nella funzione crUnpackExtendShaderSource. 
Questa funzione utilizza la macro READ_DATA per leggere nello heap 
(dal lato host) le informazioni che la macchina guest ha inviato tramite 
il protocollo HGCM: 


GLuint); 


GLuint. shader = READ D/ 


i count = READ DATA(12, GLsiz )}; 
GLint hasNonLocalLen = READ DATA(16, GLsizei); 


GLint *p 


ocalLength = DATA POINTER(20, GLint); 


Questi dati vengono poi modificati e passati alla funzione 
(const char**) 


cr_unpackDispatch.ShaderSource (shader, .1, 


Tuttavia, ci sono alcuni problemi nel modo in cui i dati vengono 
manipolati. Infatti, è presente un ciclo che fa la somma di tutte le 
dimensioni (contenute nell’array pLocalLength): 


< count; ++1) 


crError( “cr <ExtendShad 


of range”, 


pos Cc. 


Comecisi aspetterebbe, ilciclo controllache lasomma nonsia superiore 
al valore di count, che dovrebbe essere il massimo accettabile (oltre 
il quale si rischia l’overflow). Il problema di questo ciclo, come si nota 
facilmente, è che il controllo avviene solo sulla somma eseguita nel 
ciclo precedente. Quindi, l’ultimo valore di pLocalLength[i] non viene 
controllato, e può essere tanto grande da violare il totale massimo di 
count. In un ciclo successivo vengono convertiti tutti i byte nulli in invii 
a capo (da\0 a \n), mai byte totali da leggere sono calcolati sulla base 
di pLocalLength: 


: pLocalLength[i]; 


if (pString[j] 


Siccome la variabile pString e ppString vengono lette e scritte 
basandosi su questototale, basta creare l’ultimo valore di pLocalLength 
talmente grande da produrre un totale jUpTo anch’esso molto grande. 
Appena il contatore j diventerà più grande delle dimensioni di pString, 
avremo un heap overflow. 


L'EXPLOIT 


Ora sappiamo come produrre un crash di VirtualBox passando un 
argomento troppo grande alla variabile pLocalLength. Tuttavia, 
non si può facilmente controllare il contenuto della variabile, quindi 
ottenere l'esecuzione di codice sembra improbabile. O forse no. 
In una precedente versione di VirtualBox era presente un bug, 
che poteva essere sfruttato con Sdpwn (una libreria per attaccare 
programmi usando proprio l'accelerazione 3D http://bit.ly/Im193exploid), 
il quale permetteva il leak di un indirizzo di memoria scrivibile nello 
heap. In teoria, quel bug è stato risolto. In realtà, in questo caso si 
può sfruttare ancora lo stesso bug, perché la correzione lascia un 
margine alle dimensioni del connection client quindi (senza andare 
out-of-bound) è possibile creare un oggetto vulnerabile leggermente 
più grande. Non mostriamo tutto il codice per motivi di spazio, ma 
possiamo riassumere così la logica: ci si procura il puntatore di 
un oggetto CRConnection, si esegue un heap spray con molti 
CRVBOXSVCBUFFER._t, segnandosi gli indirizzi. A questo punto si 
usa la vulnerabilità scoperta in crUnpackExtendShaderSource per 
sovrascrivere uno degli oggetti CRVBOXSVCBUFFER._t: quello che 
ha i caratteri \0 sostituiti da \n è quello sovrascritto, basta controllarli 
tutti per trovarlo. Questo oggetto è ora corrotto, e si può indurre un suo 
overflow nell'oggetto successivo, sovrascrivendolo con il puntatore al 
CRConnection. Ottenuto il controllo del CRConnection è possibile 
ottenere un accesso in lettura alla memoria e l'esecuzione di codice. 


LA SOLUZIONE 


L’effettiva portata di questo bug è ridotta, perché l'accelerazione 3D su 
VirtualBox è ancora sperimentale, gli utenti sono avvisati, e infatti è poco 
usata. Il fatto che esistano molti bug in questo componente, tuttavia, 
è un pericolo da non sottovalutare. E infatti gli sviluppatori stanno 
aggiungendo correzioni per le prossime versioni: come abbiamo visto, 
in questo caso bastava correggere il controllo sulla somma totale delle 
sequenze di byte tenendo conto anche dell’ultimo valore. 


I Fig. 2 * L’exploit eseguito nel sistema guest permette di 
eseguire comandi sul sistema host 
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® Il Samsung Galaxy S10 
utilizza il “3D Sonic Sensor”, 
un lettore che secondo 

il produttore Qualcomm 

è sicuro e in grado di 
riconoscere facilmente 
anche le dita sporche 
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IMPRONTE 
POCO SICURE 


Lo smartphone può essere sbloccato in modo semplicissimo 
con le impronte digitali, ma questo metodo presenta qualche 
rischio per la sicurezza 


ualche tempo fa un no- 

stro lettore ci ha inviato 

un’email nella quale as- 
seriva di aver fatto un’incredibile 
scoperta: il suo Huawei P10 poteva 
essere sbloccato non solo con la pro- 
pria impronta digitale, ma anche con 
quella di un collega. La stessa cosa 
funzionava anche al contrario: lo 
Huawei P10 del collega poteva esse- 
re sbloccato anche con le impronte 
digitali del nostro lettore. Ma allora, 
i lettori di impronte di Huawei sono 
inefficaci? 


SMARTPHONE 
E SENSORI 


In effetti, una breve ricerca su Inter- 
net porta alla luce un discreto nume- 
ro di segnalazioni di funzionamenti 
“anomali” del lettore di impronte. Il 
problema è che i lettori di impronte 
digitali installati sulla maggior parte 
degli smartphone hanno dimensioni 
così piccole da non riuscire a cat- 
turare un’impronta completa, ma 
solo una parziale. Inoltre, i lettori di 
impronte devono avere una certa tol- 
leranza al riconoscimento, affinché 


® I ricercatori statunitensi 
della University of 
Michigan hanno scoperto 
che una copia delle 
impronte digitali può 
ingannare i sensori 
capacitivi. Su http://bit. 
ly/ditaartificiali troverai 
Un video che mostra delle 
“dita artificiali” in azione 


MIGLIORIAMO LA PRECISIONE 


Sebbene non aumentino la sicurezza, questi 
suggerimenti possono migliorare la precisione 
nel riconoscimento delle impronte da parte del 


lettore: 


® Selezione: le dita della mano con la quale si 
lavora sono quelle più utilizzate per sbloccare 

lo smartphone, ma anche quelle che creano più 
problemi di sporco o lesioni. Pertanto, utilizziamo 
anche un dito dell'altra mano, ad esempio peri 
destrorsi, anche un dito della mano sinistra. ‘ 


lo sblocco risulti comodo da eseguire 
nella vita di tutti i giorni, A seconda 
della pressione sul sensore e dell’an- 
golo di incidenza del dito, la pulizia e 
la temperatura, si ottengono modelli 
delle impronte leggermente diversi. 
I produttori non rivelano quanto alta 
sia questa soglia di tolleranza ma, evi- 
dentemente, quella dello Huawei P10 
dev'essere piuttosto alta. 


LA BIOMETRIA PUÒ 
ESSERE VIOLATA 


I problemi del riconoscimento biome- 
trico sono noti da tempo, tanto che i 
punti deboli vengono sfruttati da anni 
per bypassare la protezione utilizzan- 
do strumenti come calchi delle dita, 
dita artificiali o le cosiddette “master 
key”, costituite da molte parti di im- 
pronte di dita umane. I lettori ottici 
della precedente generazione erano 
facili da bypassare, mentre quelli 
capacitivi, presenti sugli smartpho- 
ne attuali, sono solo poco più sicuri. 
Pare che anche i più moderni lettori 


® Pulizia: puliamo l'area del sensore con un panno 
morbido prima dell'allenamento iniziale. 
® Variazioni: scansioniamo il dito in diverse 


condizioni: pelle fredda, calda, secca, umida 


{gonfia}, poi salviamo le scansioni in profili 
diversi. Catturiamo anche un altro dito. 

® Graffi: facciamo attenzione a non graffiare 
o sporcare l'area delle impronte digitali e 
puliamola regolarmente. Possiamo anche 
coprirla con una pellicola protettiva. 


BIOMETRIA E LETTORI IMPRONTE 


Ogni essere umano ha caratteristiche 
biologiche uniche: fisiologiche (impronte 
digitali, viso, vene o occhi) e comportamentali 
(riflessi, reazioni): “Biometria” è la raccolta e 
la valutazione di tali caratteristiche. Durante 
la fase di apprendimento, il sensore rileva 

le caratteristiche biometriche dell'utente 

e il software di gestione digitalizza il 

tutto, memorizzando un modello in un 
database crittografato. Quando si accede, il 
sensore legge nuovamente i dati biometrici 
confrontandoli, tramite un software, 

con l'immagine memorizzata. Se i dati 
corrispondono, il telefono viene sbloccato. | 
lettori per impronte digitali rappresentano 
un compromesso tra comfort e sicurezza. 


ad ultrasuoni siano stati ingannati di 
recente utilizzando una stampa in 3D 
a partire dalla foto di un’impronta 
(Video: http://bit.ly/scannerS10). 


TROPPA FIDUCIA 
NELLA TECNOLOGIA? 


Sebbene i sensori moderni siano più 
difficili da imbrogliare e i nuovi smart- 
phone siano molto più potenti che non 
in passato, non siamo ancora arrivati 
ad avere l’assoluta precisione nell’au- 
tenticazione delle impronte. Nono- 
stante questo, molti hanno un’estre- 
ma fiducia in questa tecnologia: ad 
esempio, in uno studio realizzato in 
Germania dell’associazione di set- 
tore Bitkom nel febbraio 2019, nove 
intervistati su dieci hanno dichiarato 
di voler utilizzare l’impronta digitale 
anche per le transazioni di pagamento. 
Ancora più sorprendente il commento 
dell’associazione: “I metodi biometri- 
ci sono pratici e sicuri per gli utenti”. 
Pratici magari sì, ma sulla sicurezza 
non siamo molto d’accordo. 


alla pressione: 


@ Comuni sensori 
capacitivi misurano le differenze 
elettriche nell’impronta digitale 


LI 
QUAL E 
L'ALTERNATIVA? 
Meglio una gesture come prote- 
zione? Mica tanto: le gesture sono 
fin troppo facili da scoprire perché 
molti utenti usano schemi standard. 
Il buon vecchio codice PIN da al- 
meno otto caratteri è scomodo, ma 
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MACHINE LEARNING 
MASTERS THE FINGE 
TO FOOL BIOME TRIC 


SYSTEMS 


SERPRINT 


Particolarmente rilevanti per gli smartphone 
sono tre metodi di riconoscimento sensibili 


Vecchio: sensore ottico. Un chip CCD, come in 
una fotocamera digitale, produce 
un'immagine 2D delle linee (“Dermatoglifi” 
&3) dell'impronta digitale. + Veloce, 
economico - Impreciso, superficiale, 
facilmente ingannato dalle immagini 2D. 
Comune: sensore capacitivo. Una matrice di 
minuscoli condensatori a semiconduttore EB 
rileva le differenze elettrostatiche tra le 
nervature papillari in rilievo e le scanalature 
tra di esse. + Risoluzione elevata, maggior 
precisione, economico. 

Novità: sensore ad ultrasuoni. Questa 


tecnologia utilizza gli 
ultrasuoni e l'eco riflesso dal 
dito per creare un modello 
3D dello stesso. + Risoluzione 
elevata, precisione, nessuna 
interferenza, complesso da 
ingannare. - Attualmente 
disponibile solo sui telefoni di 
fascia alta. 


valido. I nuovi smartphone ora of- 
frono anche il riconoscimento del 
volto, che non sarà la soluzione per- 


fetta, ma è un’alternativa migliore e 
al contempo pratica. 

La cosa più importante: qualsiasi 
cosa è meglio del non avere nessuna 
protezione. 


® Alla fine del 2018, i ricercatori hanno creato una “DeepMaster 
Prints” (http://bit.ly/deepmprint): una sorta di chiave biometrica 
ottenuta combinando le impronte contenute in un database di 
impronte digitali per superare in astuzia i sensori 


BIOMETRIA 
NEI TEST 


Sempre più dispositivi utilizza- 
no dati biometrici per l'iden- 
tificazione e l'autenticazione: 

ci sono porte che si aprono 
leggendo le vene della mano, 
sui passaporti europei sono 
presenti le impronte digitali e 

in alcuni supermercati i clienti 
possono pagare con l'impronta 
del pollice. | politici e l'industria 
sono convinti che la biometria 
sia sicura; noi, invece, siamo più 
scettici. Nei nostri laboratori, 
difatti, abbiamo regolarmente 
scoperto dei punti deboli nelle 
autenticazioni biometriche. Ad 
esempio, nel 2013 abbiamo 
testato il nuovo iPhone 5s di 
Apple, il primo smartphone ad 
utilizzare un sensore di impron- 


te digitali. Era sicuro? No, non 
lo era. Dopo solo un giorno, i 
nostri tester riuscirono a in- 
gannare il suo sensore usando 
un'impronta artificiale creata 
con la cera di una candela! 
Probabilmente anche per 
questo Apple ha detto addio 

ai sensori di impronte digitali. 
Dall'autunno del 2018 gli iPho- 
ne possono essere sbloccati 
utilizzando il volto. Sull’iPhone 
X e sul Samsung Galaxy Note 9, 
i nostri tecnici non sono riusciti 
a bypassare il Face ID, ma su 
altri telefoni, come lo Huawei 
P20 Lite, ci siamo riusciti uti- 
lizzando una testa artificiale da 
5.000 euro. Le nostre conclu- 
sioni? Gli smartphone economi- 
ci utilizzano fotocamere troppo 
poco definite per il Face ID. 
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LA TROVI IN EDICOLA! 


Ae... 


UNICODE © BELLO 


La codifica Unicode e il suo charset UTF-8 permettono la digitalizzazione di ogni tipo 
di scrittura umana, dall’alfabeto latino agli ideogrammi cinesi, passando per i geroglifici 


i tempi dei Sumeri, scrivere un testo 
Ae piuttosto complicato. Per copiare 

i tremila versi dell’epopea di Gilga- 
mesh (htips://mediterraneoantico.it/wp-con- 
tent/uploads/2018/11/Lepopea-di-Gilgamesh. 
pdf) ci voleva almeno una settimana. Insom- 
ma, chi la copiava violando il diritto d’autore 
si meritava anche un ringraziamento, visto lo 
sforzo. La carta è diventata il supporto prin- 
cipale per la scrittura grazie alla stampa, e 
lo è rimasta fino a pochi anni fa. | compu- 
ter hanno segnato una nuova era: ora i te- 
sti si memorizzano su memorie magnetiche 
o di silicio. Per i computer un carattere non 
è altro che un numero assegnato in base a 
una tabella. La cosa più logica sarebbe stata 
raggiungere fin da subito un accordo tra tutti 
i costruttori per definire una convenzione in- 
ternazionale. E infatti nessuno ci ha pensato 
fino all'avvento del web. Il web ha permesso 
agli utenti di leggere enormi quantità di pagi- 
ne scritte in ogni parte del mondo, ciascuna 
con lingue e caratteri diversi. All’inizio degli 
anni ‘90 la codifica più comune per le pagine 
web era l’ASCII, usata dai computer IBM sui 
computer di lingua inglese. Era intelligente, 
perché la numerazione delle lettere iniziava 
da 65. Significa che in formato binario le ma- 
iuscole sono: 


© Fig. 1 è L'epopea di Gilgamesh è stata 
scritta con caratteri cuneiformi: gli autori 
avrebbero probabilmente preferito un 
computer con Unicode 


A = 01000001 
B = 01000011 
Z = O1011010 


mentre le lettere minuscole iniziano da 97: 


01100001 
01100011 
01111010 


d'a 
"Un 


N 
Il 


Le lettere con diacritici vanno dal 128 (cioè 
da 10000000) al 255. In altre parole, con- 
trollando i primi tre bit da sinistra si può ca- 
pire se la lettera sia maiuscola, minuscola, 
o con accento. Il nuovo consorzio per la 
codifica universale, chiamato Unicode, ha 
un problema: usando un solo byte (8 bit in 
sequenza) è possibile rappresentare 256 
numeri. Quindi per codificare le migliaia 
di simboli inventati dall’umanità servono 
ben più di 8 bit: almeno 32, quindi 4 byte. 
Sarebbe assurdo prevedere un totale di 
32 bit per ogni carattere anche quando si 
possono usare numeri più piccoli, ogni file 
risulterebbe essere più grande del dovuto. 
Inoltre esiste il byte null, cioè una sequen- 
za di otto bit con valore zero. Quando un 
programma legge del testo e trova questa 
sequenza si ferma, perché indica la fine 
del testo. Quindi non si può creare nessu- 
na sequenza Unicode che contenga 8 zeri 
consecutivi. La soluzione, UTF-8, venne 
trovata da Ken Thompson e Rob Pike, per 
il loro sistema operativo Plan 9 from Bell 
Labs. La codifica UTF-8 è una idea geniale, 
perché utilizza una convenzione per indica- 
re il numero di byte (da 1 a 4) usati per rap- 
presentare i caratteri. Per i caratteri ASCII 
semplici (quindi fino a 127) si userà un solo 
byte, che inizierà con 0: 


OXXXXXXX 


Per i caratteri che vanno da 128 a 2047 si 
usano due byte, con questa struttura: 


110XXXXX 10XXXXXX 


eten IRE neo 


SITUATION: 


© Fig. 2 «Fino agli anni ‘90, ogni 
produttore inventava il proprio sistema 
di codifica dei caratteri. Unicode si è 
aggiunto come ulteriore standard, ma 
finalmente sta sostituendo gli altri 


Per quelli da 2048 a 65535 si usano tre byte, 
con la struttura 


1110XXXX 10XXXXXX 10XXXXXX 


E infine da 65535 a 1114111 si usano quattro 
byte, che hanno quesiti bit fissi: 


11110XXX 10XXXXXX 10XXXXXX 
10XXXXXX 


Quindi è sempre possibile sapere di quan- 
ti byte è composto l’intero carattere, basta 
leggere i primi bit da sinistra. Inoltre, non vi 
è mai una serie di 8 bit consecutiva. 

Oggi Unicode offre un modo per codifica- 
re ogni simbolo, inclusi anche i più antichi 
ideogrammi. Il che è prezioso, perché si sta 
lavorando a sistemi di OCR per leggere e 
memorizzare in eterno antiche iscrizioni pre- 
senti nelle pareti delle tombe e su tavolette. 
Grazie alle tastiere virtuali Unicode diventa 
anche possibile scrivere nuovi testi usando, 
per esempio, i geroglifici. 

Se siete curiosi di vedere ogni possibile sim- 
bolo inventato dall'uomo per comunicare, 
potete armarvi di pop corn e vedere il film 
dell’Unicode: Attps://vimeo.com/48858289. 
Una avvertenza: dura due ore e mezza, ed 
è un po’ noioso. L’epopea di Gilgamesh è 
più divertente. 


0000 
cece 
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SITUATION: 
THERE ARE 


Billy, the sysadmin cat È 


Il driver del 
floppy non ha più uno 
sviluppatore, e forse 

sparirà tra un 
paio di anni 


Ah, lo fanno perché 
il responsabile dei 
driver non ha più 
un pc con il floppy 
per fare i test 


..possono venire 
in Italia... 


Curioso: giusto 
il tempo cne 
serviva per caricare 
i 73 Floppy di 
Slackware 2.1 


Ma se l'unico 
problema che hanno 
è quello... 


..«Qui abbiamo un 
sacco di scuole con 
computer di venti 
anni fa, gliene 
prestiamo uno 
volentieri. 
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FOTO STAMPATE i 
IN UN LAMPO! 
Ti diciamo quali sono i migliori siti 
per rivivere i tuoi ricordì dell'estate 
ILE CANCELLATI? 
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INTERNET \xxs 


ì Shatti la por 
ti di collega elio 
| SSSUN x 
| è (purtroppo) seemne tender 
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